90天内，必须主动攻击自己一次！Facebook前首席安全官Stamos提议：花1亿美元用Rust重写Linux，是谷歌送给全世界最好的礼物！

整理丨S+

出品丨 奇点折射（ID：rgznai100）

“未来90天内，每家公司都必须主动攻击自己一次。如果你不这么做，你就会遭到入侵。”

“我们正在进入一个黑暗时代。未来的情况只会变得更加严峻。”

“整个科技行业正在经历一种持续不断、仿佛永远不会结束的安全入侵事件。”

“令人震惊的是，现在只需要下载一个工具，就能攻击那么多公司。已经很久没有出现过这样的情况了：你只需要下载一个开源工具，就能入侵那些市值数十亿美元的大公司。”

这是 Cognition 首席安全官 Alex Stamos（亚历克斯·斯塔莫）在最近一期《Decoder》中说的原话。10月，他描述的状态是“类似DEFCON2的高度警戒状态”；进入11月，“这种状态还在继续”。

他把原因直指 AI：“在 AI 的推动下，攻击者的能力正处于爆发式增长的起点。现在，开放权重模型已经发展到一个阶段，可以自动化完成网络攻击链中的大部分环节。”

结果是“整个攻击链被颠倒了。你可以运行一个 AI 系统，让它不受限制地大规模行动。它会自己检查目标，实时寻找漏洞，实时编写漏洞利用程序，然后直接入侵这些公司。”

为此，他还举了一个例子：“Artex 是一个中国开发的开源工具，任何人都可以去查看。如果你在后端为它接入类似经过彻底解除限制的 GLM- 5.3 这样的模型，它能让你进行更大范围的入侵。”

斯塔莫对旧安全产业的判断也非常硬核，他坦言：“旧的安全时代已经结束，因为过去整个体系建立在几个基本假设之上。其一，掌握不同技能的人之间存在明确的层级差异。其二，真正能够在实际行动中执行攻击的人，数量是有限的。

“而 AI 技术的发展完全把这两条拆了：现在脚本小子已经能够借助 AI 获得过去那些顶尖网络安全专家才掌握的许多技能。”斯塔莫补充道。

为了让大家重视防御的重要性，他还算了一笔经济账：攻击者每个 Token 的成本正在趋近于零，而防御者的成本却依然非常高。

此外，他提到了一位从事安全工作的朋友：“使用某个大型前沿网络安全模型进行一次调查，成本就高达 900 美元。这种模式根本行不通。因为俄罗斯勒索软件团伙要么使用 Mac 电脑，要么使用那些用完就扔的网络犯罪设备。对他们来说，额外增加一项攻击任务的边际成本几乎为零。”

对于如何防御，斯塔莫进行了更为详细的拆解。他主张：必须把至少最初几个层级的防御行动交给 AI 来执行。同时也划了明确的红线：绝不能把一群防御型智能体直接放到网络里，让它们自由行动。要给它们设置确定性的限制和明确的权限边界。

他甚至举了 Okta 的例子：“它可以在 Okta 中停用用户账户，但只能停用一定数量的账户，不能把整个公司的账户全部关闭。假设它突然失控，认定公司里的每个人都是朝鲜黑客。它也不能因此把全公司的账户全部停掉。”

修复遗留代码方面，斯塔莫表示：“我们必须摆脱一种思维定式：认为只要不断发现漏洞、打上补丁就可以了。有大量软件其实是需要彻底重构的。”

对于 Linux 内核，他毫不客气地说：“把 Linux 内核拿过来，用 Rust 重新编写一遍。这将是他们送给全世界的一份礼物。整个项目可能要花 1 亿美元。但与我们每次不得不修补 Linux 内核、然后让全世界所有 Linux 机器都重新启动所付出的社会成本相比，这笔钱根本不算什么。”

社交媒体上的 AI 垃圾内容，斯塔莫同样不认为能靠“检测”就能赢：“识别假内容只是概率性的，我们只能不断逼近某种极限，却永远无法彻底解决这个问题。而验证真实内容，则可以通过密码学手段做到绝对可靠。我不会选择那场我们最终注定会输掉的战斗，而是会选择那场我们能够通过密码学手段赢下来的战斗。这就是我的建议。”

以下为对谈原文，经整理后呈现：

网络安全问题接二连三发生，会一直持续

主持人：大家好，欢迎收听《Decoder》。今天请来的是斯塔莫，他是 Cognition 的首席安全官，也是资深网络安全专家。距离我们上次交流已经有很长时间了。那时候，互联网政策讨论还处于所谓的“内容审核时代”。现在我们进入了一个全新的时代，互联网上出现了很多问题，尤其是在网络防御和网络安全方面。你最近一直在密切关注这些事情，还把过去几周称为“安全意识月”。你能详细说说到底发生了什么？

斯塔莫：传统上10 月是网络安全意识月，很多公司都会举办相关活动，在公司内部开展安全宣传，然后提醒大家更改密码、不要在不同网站使用相同密码，以及使用密码管理器之类的。但过去一个月发生了几起重大软件漏洞，比如 PHP、Node 等相关漏洞。

不过，受到关注较少的另一件事是：大量公司遭到了网络入侵。一系列与 AI 相关的公司，也就是所谓的新云服务商，接连遭到攻击。还有币安（Binance）遭遇的黑客攻击，这是人类历史上规模最大的一起盗窃案。

另外还有 Cursor 事件。根据目前我们掌握的信息来看，遭到入侵的公司中有一家叫 Fireworks，它是一家知名的 AI 服务提供商，为许多公司提供服务。在 Fireworks 遭到攻击后，黑客窃取了 API 密钥，并利用这些密钥入侵了 Cursor。进入 Cursor 后，他们又推送了一个恶意插件，这个插件随后传播到了另外 5000 家公司，导致这 5000 家公司都有可能遭到入侵。

所以，整个科技行业正在经历一种持续不断、仿佛永远不会结束的安全入侵事件。

我有一位朋友，也是企业首席信息安全官。他曾对我们一群人说：还有人跟我一样，已经累了吗？所有人都回答说：是的。因为实际上，整个 10 月，我们一直处于类似 DEFCON 2 的高度警戒状态，现在进入 11 月了，这种状态还在继续。

一个开源工具就能攻击一家，甚至上千家公司

主持人：接下来我要问几个可能非常愚蠢的问题。这些攻击究竟是谁在幕后策划的？俄罗斯？朝鲜？

斯塔莫：背后的攻击者来自不同的组织。这并不只是因为攻击者突然决定要采取行动。在我看来，真正发生的事情是：在 AI 的推动下，攻击者的能力正处于爆发式增长的起点。现在，开放权重模型已经发展到一个阶段，可以自动化完成网络攻击链中的大部分环节。

攻击链这个术语其实是军事领域借来的。在军事领域，它指的是真正摧毁某个目标的过程，也就是你为了炸毁某个东西而采取的一系列步骤。而在网络安全领域，攻击链指的是你为了对某个目标造成影响而采取的一系列行动。比如窃取信息、关闭某个系统，或者盗取资金、盗取比特币。

传统上，首先，前期你要做大量研究，分析某个软件，找到其中的漏洞，编写漏洞利用程序。这些工作通常都要提前完成。之后，再由一个人拿着你事先准备好的工具和程序，针对某个目标发动攻击。这个目标可能只有一个，比如某个政府机构，准备攻击洛克希德·马丁（Lockheed Martin），或者攻击另一个国家的政府机构。

也可能你是一名勒索软件攻击者，于是把之前完成的所有工作，迅速部署到数百甚至数千个目标上。但现在随着 AI 的出现，情况发生了变化：整个攻击链被颠倒了。你可以运行一个 AI 系统，让它不受限制地大规模行动。它会自己检查目标，实时寻找漏洞，实时编写漏洞利用程序，然后直接入侵这些公司。

这就是目前正在发生的事情之一：这些系统在寻找漏洞方面表现得极其出色，以至于它们能够实时发现漏洞，并实时编写相应的攻击代码。

大家最近讨论的那个系统，并不是唯一存在的同类工具。另一个值得关注的系统叫作 Artex。它是一个中国开发的开源工具，任何人都可以去查看。如果你在后端为它接入类似经过彻底解除限制的 GLM-5.3 这样的模型，它就能让你入侵数量惊人的组织。

最初遭到攻击的是三家韩国银行。本周又有大约 200 家公司遭到了攻击。我最近一直在帮助其中几家公司。Cognition 严格来说并不是一家专门提供应急响应服务的公司，但我们确实会使用自己的工具，帮助企业在遭到攻击后修复漏洞。

令人震惊的是，现在你只需要下载一个开源工具，就能入侵那些市值数十亿美元的大公司。

“回到了 90 年代末的 Windows 时代”

主持人：这让我想到 90 年代末到 2000 年代初的 Windows。当时整个 Windows 系统的安全状况简直是一场灾难。

斯塔莫：其实今年年初我就这么说了。现在是一个令人无比兴奋、同时又令人无比恐惧的时代。上一次我有这种感觉，还是在我年轻的时候。那时候我会去参加最早期的 DEF CON 黑客大会。如今的 DEF CON 动辄有四五万人，甚至六万人参加。但在当年，现场只有几百人，而且只有一个演讲会场。

走进去有人发表演讲，离开会场时，脑子里想的可能是：天哪，世界上所有公司都可能受到这种攻击的影响。但当时有一个区别：整个世界还没有依赖互联网运行。所以，你可以做一些坏事，但你还不至于毁掉整个世界，而且，你绝对不可能像现在这样，把攻击行为自动化。

如今的情况又回到了那个年代：你只需要下载一些现成工具，甚至自己动手搭建一些工具，就能做出各种令人难以置信的事情。这又回到了狂野西部般的时代。

但有一点不同：当年真正掌握这些技能的人可能只有几百个。我们所有人都聚集在拉斯维加斯的一个房间里，而且其中大多数人实际上都是好人。他们并不想成为罪犯。

而现在，参与其中的人群规模大得多。其中很多人生活在执法机构根本无法触及的地方，而且他们有着巨大的经济利益驱动，同时又能够使用这些工具。

另一个很大的变化是，他们已经不再需要依赖那些受安全限制的前沿模型了。那些前沿模型通常有各种防护机制，也会留下日志，执法机构有可能获取这些记录。而现在，他们可以直接使用其他模型。我的 M5 Mac Studio 终于到了。我一直在上面运行经过量化处理、彻底解除限制的 GLM-5.3。

十亿美元的旧网络安全时代已经结束了

主持人：你刚才提到了前沿模型的经济成本，以及网络安全行业的经济体系。早期，大家只是一群聚集在同一个房间的人。系统逐渐变得更安全，其中一个原因是：你可以花很多钱请顶尖人才保护所有系统。从经济角度来看，花钱让他们做防御者，而不是攻击者，是一笔划算的买卖。

回顾整个行业的发展历程。曾经有一场持续很久的争论：究竟应该通过隐藏漏洞、隐藏代码来实现所谓的“安全性依赖于保密”，还是应该选择开源，让一切尽可能透明？

后来，行业逐渐形成了一套披露漏洞的礼仪规范，包括如何公布漏洞，以及何时候通知相关企业。我们还建立了透明度报告制度、漏洞赏金计划。

我们围绕网络安全和网络防御形成了一种文化，也逐渐明确了攻击者和防御者各自应该如何行动。但你刚才描述的变化，正在从很多方面彻底改变这一切。

其中最让我在意的是经济层面的变化。我可以去买一台 Mac Studio，下载一个开放权重模型，直接开始攻击。但这样做，并不会让你自动融入原本的行业文化。你觉得，这种情况究竟正在怎么改变整个行业？

斯塔莫：在我看来，网络安全的上一个时代始于 2000 年代初微软发布的那份“可信计算”备忘录，也就是比尔·盖茨当年提出的那份文件。

从那时起，我们开始系统性地设计软件安全体系。微软、甲骨文，后来还有亚马逊、Salesforce 等大型公司，开始招聘曾经的黑客，让他们加入公司，专门负责攻击和测试公司的系统。

我就是那一代人中的一员。当年，我和其他人在 DEF CON、Black Hat 等黑客大会上活动，后来被这些公司招募，去测试和攻击他们自己的系统。随后，我们开始建立负责任漏洞披露机制、漏洞赏金计划，以及专业的网络安全咨询公司。比如 Foundstone、Mandiant 和 CrowdStrike。

这些公司逐渐成长起来，最终形成了一个规模庞大的产业。RSA、Black Hat 等行业活动也成为这个生态系统的重要组成部分。价值数十亿美元的网络安全产业，就是在 2000 年代和 2010 年代发展壮大的。

但你刚才说的那个时代已经结束了。因为过去的整个体系建立在几个基本假设之上。

第一个假设是：掌握不同技能的人之间存在明确的层级差异。最底层是那些脚本小子（script kiddies），他们只能下载现成工具来发动攻击。再往上一层，是那些能够编写这些工具的人。这属于更加稀缺的技能。然后是漏洞研究人员。再往上，就是所谓的神级人物。这一最高层级的人数只有几百人。

他们是真正顶尖的漏洞研究专家，能够进行极其深入的漏洞研究，编写非常高水平的 Shellcode（用于利用漏洞执行特定操作的代码），还能够逆向分析微软或其他公司发布的安全补丁，从中还原漏洞。

第二个假设：真正能够在实际行动中执行攻击的人，数量是有限的。因此，如果你想组建一支攻击团队，就需要一个规模较小的研发部门，以及一个规模大得多的行动执行部门。

比如美国网络司令部、俄罗斯对外情报局（SVR）或者中国国家安全部（MSS）这样的专业攻击团队，都会建立类似的组织结构：由一小群精英负责研发，再由能力相对普通的成员负责具体行动。俄罗斯的勒索软件团伙也采用了类似模式。

换句话说，要完成这类攻击，过去需要一群人相互配合、共同参与。此外，随着比特币的出现，很多原本成立的假设也开始瓦解。过去人们认为，你必须拥有专门负责洗钱的人，而比特币的出现意味着，连极客都能够参与洗钱了。所以，比特币已经开始改变整个网络犯罪行业的经济模式。

AI 让所有旧的网络攻击、防御手段瓦解

斯塔莫：现在 AI 正在让这一切进一步瓦解。首先，技能门槛的问题正在发生变化。如今，脚本小子已经能够借助 AI 获得过去那些顶尖网络安全专家才掌握的许多技能。有了现在放在我桌上的这台 Mac，我就可以逆向分析微软的安全补丁，一步步研究，然后编写出稳定可用的漏洞利用代码。

虽然目前还不能完全自动化，你仍然需要掌握不少专业技能，但我们已经非常接近那个阶段了。更令人担忧的是，你在 Artex 相关事件中看到的情况：现在你甚至可以把攻击行动的执行环节也交给 AI，让它自己大规模运行。

实际上，我们过去从来没有真正安全过。所谓的安全，某种程度上一直都是一种幻想。这些公司一直都存在各种漏洞，从来没有真正做到万无一失。过去十年我们看到的情况就是如此：主要是俄罗斯勒索软件团伙不断攻击那些中型企业。

这些企业大多数人甚至从来没有听说过，但它们实际上非常重要。比如某家中型工业企业，生产着某种我们所有人都依赖的零部件。我曾经为美国一家最大的医疗和牙科用品分销商工作过。那家公司曾遭到一个俄罗斯勒索软件团伙的严重攻击。结果，全国各地的牙科诊所都不得不取消预约。

问题就在于，像这样的公司可能只有一名网络安全人员，以及一个由十到十二人组成的 IT 团队。而他们面对的，却是一支由二十人组成的俄罗斯勒索软件攻击团队。

这种对抗根本没有胜算。但过去之所以能维持这种局面，是因为能够做到这种程度的俄罗斯攻击团队只有少数几支。而现在，两三个俄罗斯年轻人就可以拥有一整排 Mac 电脑。如果他们有钱，甚至可以购买英伟达 H100 GPU，运行大量智能体，让它们全天候执行攻击任务。这才是真正正在改变一切的事情。

提高攻击成本很难，降低防御成本才是硬道理

主持人：所以，你刚才说谁在攻击币安？

斯塔莫：攻击币安的是朝鲜人。他们有一整支专门负责窃取比特币的团队。

其他人已经逐渐退出这个领域了，因为你很难和一个外国情报机构竞争。对方会招募本国最聪明的年轻人，而这些人唯一的工作就是窃取比特币。他们在这方面做得极其出色。

至于币安遭遇的那次黑客攻击，我们可以展开聊聊。那次攻击可能涉及某些 AI 技术，但实际上，主要依靠的还是人工情报收集，以及极其高明的社会工程学手段。

说实话，你不得不承认，朝鲜人在这方面确实非常厉害。但至于其他那些攻击事件，目前看来，入侵 AI 公司的攻击者属于所谓的“灰色产业链式入侵行业”。

技能的普及正在改变网络安全行业的经济格局，这一点我觉得非常有意思。很多年前，在这一切刚刚开始的时候，我们曾经用过一个标题，叫作《杀人脚本小子的攻击》（Attack of the Killer Script Kitties）。现在回头看，我甚至有点后悔当时就用这个标题了，因为它其实更适合现在的情况，而不是当时。当时发生的不过是一些自动化的恶作剧而已。

主持人：我感觉你说的这种技能普及，并不是说“一群青少年变得更有恶意了”，而是说：那些本来就有明确作恶动机、确实想造成伤害的坏人，如今拥有了远超以往的能力。而且，我觉得除非我们能想办法大幅提高攻击的成本，否则似乎根本无法重新调整这种经济格局。

斯塔莫：我认为，要提高攻击成本将会极其困难。我们必须降低防御成本。你把这件事看作一个经济问题是完全正确的，因为现在发生的情况是，攻击变得越来越自主化。攻击者每个 Token 的成本正在趋近于零，而防御者的成本却依然非常高。因此，我们必须找到办法，让防御者能够以更低的成本获得防御能力。这一点至关重要，也是我个人目前极其关注的事情。坦白说，我认为真正关注这个问题的人并不多。

这里存在几个问题。首先，大家应该把大量注意力放在 AI 的防御应用上，也就是利用 AI 发现并修复软件漏洞。这非常重要。但作为一名企业首席信息安全官，我在一家 AI 软件公司 Cognition 工作。即使对于一家软件产品公司的 CISO 来说，软件安全也只占我工作内容的 25%，而软件安全恰恰是我工作中受到 AI 革命影响最大、改善也最明显的部分。

另外 75% 的工作，AI 只提供了一些帮助，有些情况下甚至让情况变得更糟。所以，我们需要做的远不止是不断改进发现和修复漏洞的能力。对于其他这些领域，大家投入的精力实在太少了。下一个需要重点突破的领域，应该是安全运营。

用 AI 取代人工，结束 900 美元一次的网络防御

主持人：你能举个例子吗？另外 75% 都包括什么？

斯塔莫：比如安全运营方面，包括监控日志，查看是否有人正在利用 Artex 之类的工具攻击我们。一旦发现这种情况，我就会启动调查，弄清楚究竟发生了什么，然后做出合理判断，决定应该如何应对，而不是直接把整个公司都停摆。这就是安全运营中心（SOC）的工作，也就是安全运营方面的工作。

想要在这个时代生存下来的公司，必须逐步用 AI 取代负责这类工作的人工人员。首先是第一层级的工作，最终还要扩展到第二层级。目前的大语言模型就已经能够承担这类工作了。

不过，第一层级实际上不应该使用大语言模型，而应该使用更简单、更轻量的技术。因为你需要处理的是数 TB 甚至数 PB 的日志数据，用真正的大语言模型来处理这些数据，成本完全不划算。

我们还有其他技术，比如 TF-IDF、机器学习模型，以及传统的分类器。这些工具的运行速度要快得多。它们首先负责发出警报，然后把警报交给一个小型语言模型，再由这个小模型调用更强大的模型，必要时甚至还能进一步调用更大型的模型。

但对于这些模型，我们还需要投入更多精力进行优化，还必须把成本降下来。我有一位同事在一家大型安全平台公司工作。他告诉我，在他们的产品中，使用某个大型前沿网络安全模型进行一次调查，成本就高达 900 美元。

这种模式根本行不通。因为俄罗斯勒索软件团伙要么使用 Mac 电脑，要么使用那些用完就扔的网络犯罪设备，比如加密货币挖矿机器。对他们来说，额外增加一项攻击任务的边际成本几乎为零。

所以，这也是我在 Cognition 正在努力解决的问题之一：我们训练自己的模型，对开放权重模型进行再训练，努力把成本大幅压低。这方面我们已经取得了一些进展，但还有很多工作要做，行业里的其他人也一样。

我认为，整个行业必须把重点放在网络安全领域成本与效率之间的帕累托前沿（Pareto frontier）上。因为问题绝不仅仅是发现漏洞。

另一个问题是，大家经常谈论 Mythos。Mythos 很出色，Astro Cyber 也很出色，它们都是非常强大的模型。但即使是那些有权限使用这些模型的人，而这实际上只是一小部分公司，他们也只会扫描自己最重要的那部分代码。

然而，世界上还有数千亿行代码，它们可不是什么 Linux 内核，而是那些由 Infosys 在 15 年前编写的、质量糟糕的 C 语言和 J2EE 代码。这些代码不可能全部交给那些成本高得惊人的前沿网络安全模型去扫描。

所以，我们真正需要解决的，就是如何以更高的成本效益来处理这些代码。

正在进入黑暗时代，未来会更糟糕

主持人：你描述的其实就是我经常听到的一种老生常谈的观点：在一切最终变得绝对安全之前，情况会先变得糟糕得多。我们真的会经历一个“情况糟糕透顶，然后从此永远完美”的阶段吗？还是说，最终攻击与防御双方的成本会逐渐达到平衡？

斯塔莫：我既不是最极端的末日论者，也不是对此最乐观的人。我觉得我们不会迎来世界末日，未来几年里，我们不会全都死掉，也不会全部被上传到所谓的奇点之中。但我也不认为，等到情况好转之后，一切就会变得完美。

我一直在使用的一个比喻：我们正在进入一个黑暗时代。未来的情况只会变得更加严峻。而我们这些从事网络安全工作的人，尤其是那些在 AI 公司从事网络安全工作的人，我们也是一家 AI 实验室，只不过规模比那些大型实验室小一些，肩负着一项特别重要的责任：帮助人们在这个黑暗时代中站稳脚跟。

历史上的黑暗时代确实很糟糕，但人类挺过来了。之后我们迎来了启蒙运动和文艺复兴。但这并不意味着文艺复兴时期就是完美的，那个时代并不是什么乌托邦，也不是所有事情都尽善尽美。

未来我们依然会遭遇黑客攻击。即使软件本身不存在安全漏洞，也仍然会发生各种各样的问题。事实上，有大量安全事件根本不需要利用软件本身的漏洞就能发生。

即使未来所有代码都是由大语言模型编写的，而且使用的都是安全性更高的编程语言，软件漏洞依然会存在。要彻底消除所有漏洞，也需要相当长的时间。

不过，我认为，随着越来越多的代码由大语言模型编写，并且采用内存安全、类型安全的编程语言，整体情况会逐渐好转。也就是说，随着代码质量的中位数不断提高，安全状况也会改善。

但问题在于，我们还有过去几十年积累下来的大量遗留代码。这些代码是人类编写的，而且使用的很多编程语言，早就应该被淘汰了。

网络防御：不是不断发现漏洞，不断打补丁

斯塔莫：在我看来，如果我们想缩短这个黑暗时代，就必须做几件事。

第一，我们必须摆脱一种思维定式：认为只要不断发现漏洞、打上补丁就可以了。有大量软件其实需要彻底重构。

比如，检查自己的代码库，扫描出一万个漏洞。那么现在很可能已经到了这样一个阶段：直接重写整个系统，实际上比逐个修复这些漏洞更加便宜。

这是我在观察我们的客户时得出的结论。如果你能够获得一个可以正常运行的构建版本，那么接下来，更简单的做法是：编写一整套规模庞大的测试，明确规定这个系统应该如何工作，然后严格按照这些规范和测试，安全地重新构建整个系统。相比之下，逐一寻找所有漏洞并修复它们，反而更加困难。这是我的判断。

至于 Linux 内核开发者们现在究竟是怎么想的，我不太清楚。不过，在今年年初我发表的那场演讲中，我曾经提出过两种可能的未来。

一种是：我们现在已经拥有了超越人类水平的漏洞发现能力。也许我们面对的是一个规模庞大的、超人级别的漏洞池，而我们只需要不断挖掘，最终就能把它清空。这是比较理想的未来。

但另一种更糟糕的可能是：每当我们获得一个新模型，就会出现一个新的超人级漏洞池，而且这个漏洞池中的漏洞比上一个更加复杂，发现它们也需要更强的能力。目前看来，我们似乎正朝着第二种情况发展。

用 1 亿美元重写 Linux，是谷歌送给全世界最好的礼物

斯塔莫：Linux 内核已经从 Mythos 那里获得了一批漏洞修复补丁，接着又有了 Mythos Preview。之后我们有了 Mythos 5.1，结果又发现了新的一批漏洞。再后来，Astro Cyber 出现了，我们又得到了一千个 Linux 内核补丁。

事情还没有任何放缓的迹象。我不认为我们能仅仅靠不断扫描 Linux 内核里的 C 语言代码，就能把这些问题全部解决。说实话，全世界可能只有两家公司有能力真正做到这一点：Google 或者 Amazon。

我真希望 Google 不要再把精力花在 Fuchsia 项目上，也不要再一次次重新折腾 Google Book 或 Chromebook 之类的产品了。我希望他们把那些极其优秀的工程师全部集中起来，告诉他们：把 Linux 内核拿过来，用 Rust 重新编写一遍。这将是他们送给全世界的一份礼物。

而且，这也会成为 Gemini、Carbon 或者其他相关产品的一次绝佳宣传机会。

具体来说，就是把那些根本没人需要的驱动程序全部删掉。比如，这个系统根本不需要支持 4060x3 之类的硬件。或者，干脆让 Google 和 Amazon 联手来做这件事。整个项目可能要花 1 亿美元。

但与我们每次不得不修补 Linux 内核、然后让全世界所有 Linux 机器都重新启动所付出的社会成本相比，这笔钱根本不算什么。这就是我们必须做的事情。

但不知道为什么，整个科技行业始终没能团结起来，对这些支撑整个人类社会运行的基础性技术做出如此艰难却必要的决定：我们必须彻底重建它们。

Linus 肯定不会做，谷歌、亚马逊没必要在意他

斯塔莫：重写 Linux 内核的问题在于，它有大约一半的代码都是设备驱动程序，而其中很多硬件现在已经没人用了。当年编写某个驱动程序的人，必须亲自拿着一台 ThinkPad T40 之类的电脑，在那台设备面前进行开发。而现在，那些硬件早就找不到了。

但好消息是，Linux 内核有大量非常重要的应用场景，其实都集中在生产环境的服务器硬件上。所以，我们完全可以从现有 Linux 内核分叉出一个新版本。

Linus 肯定不会这么做，因为他希望继续支持所有硬件，而且这里面还涉及各种各样的利益和立场。但 Google 和 Amazon 没必要在意他的想法。他们完全可以创建一个全新的 Linux 内核分支，不一定叫 Linux。只要它在二进制层面与 GIC 以及其上层的所有组件保持兼容就可以了。而且，他们最终甚至可以连 GIC一起分叉。

他们可以自己开发，想叫什么名字都行。这个系统只需要支持生产环境中的服务器硬件，然后就可以部署到各自的云平台上。最终所有云服务商都可以逐渐迁移到这个新系统上。

如果其他人愿意继续使用那个不安全、需要不断打补丁的旧系统，也没关系。但对于运行我们容器的底层系统来说，如果它是用一种类型安全、内存安全的语言编写的，而且还具备契约机制，我会放心很多。

这里说的契约机制，是指这些编程语言所具备的一类功能。你不一定需要进行完整的形式化验证，因为太困难了，但你可以采用一些接近形式化验证的方法。

这方面有点超出自己的专业范围了，因为有很多研究这类问题的人比我聪明得多。

不过，简单来说，就是你明确规定某个函数应该如何工作，以及它必须满足什么样的契约条件。非常优秀的软件工程师其实很愿意编写这类东西，因为他们通常有时间做这些事情。

过去，真正有实际工作要做的人，根本没有时间编写这些东西。但大语言模型有的是时间，所以，完全可以让它们利用这些方法，重新编写 Linux 内核。虽然还达不到严格意义上的形式化验证，但已经非常接近了。

我想表达的是：我们要想挺过这个时代，就需要这样的思维方式。我们不能再指望通过不断打补丁来解决所有问题了，因为这种做法正在把我们逼入绝境。

Hugging Face 事件敲响的警钟：学会主动出击

主持人：作为美国人，我们喜欢事后治疗，却讨厌事前预防。这个月接连经历的数据泄露和网络入侵事件，简直一团糟。比如 Hugging Face 遭到攻击、PHP 漏洞事件。但这些事情似乎并没有促使整个行业采取集体行动，也没有引发监管层面的回应，究竟还要糟糕到什么程度，大家才会真正采取行动？

斯塔莫：Hugging Face 事件确实是一件好事，它唤醒了很多网络安全领域的人。因为这件事，我们现在的安全状况确实有所改善。它让我们提前看到了几个月后开源领域可能出现的情况。

不过，你说得完全正确。作为美国人，我们确实应该采取行动。说实话，只有美国有能力引领全世界。毕竟在 AI 领域，主要的技术研发工作是我们在做；网络安全行业的领导地位也主要掌握在我们手里。

其他国家的人在这方面主要是在帮助攻击者，而不是帮助防御者。他们也应该为防御提供支持。如果其他国家希望参与全球经济，也希望成为全球领导者，那么他们就应该在防御领域投入更多力量，而不是一味地帮助攻击者。但目前并没有发生这样的事情。总之，我们必须采取主动。

另外，我现在在 Cognition 这样一家 AI 初创公司工作，学到了一件事：你真的可以直接去做一些事情。整个科技行业都需要拥有更多主动性。我认为，这应该成为 AI 时代给我们的一个重要教训：不要总是过于畏首畏尾，尤其是在采取正确的安全措施时。如果要我给其他 CISO 留下一条建议，那就是：直接去做正确的事情。

因为 CISO 这个职位本身就决定了，我们天生倾向于规避风险。我们的工作就是管理潜在损失。在公司的损益表里，我们只有成本，没有收入。我个人也不得不努力克服这种本能倾向。因为你不能永远只想着防守。

未来 90 天，主动对自己进行红队测试

主持人：你刚刚说的恰恰就是“预防与治疗”之间的矛盾，对吧？预防的成本其实很低，但在损益表上，它体现出来的全都是损失，全都是支出。

斯塔莫：没错。

主持人：可一旦坏事真的发生了，你就会想：我们必须不惜一切代价把问题解决。因为只有恢复正常运营，公司才能重新创造经济价值。

所以我觉得，在目前这个阶段，即使大家对风险和成本之间的基本关系有一些认识，整个判断体系也已经完全被打乱了，还没有人真正摸索出正确的应对方式。

斯塔莫：是的，我完全同意。让我举一个非常实际的例子，说明 CISO 以及他们的老板们今后必须如何改变。

我本来想说，未来六个月内，每家公司都必须对自己进行一次 Artex 攻击测试。但实际上，时间可能更紧迫：未来 90 天内，每家公司都必须主动对自己发起一次攻击。

主持人：你的意思是，要自己攻击自己的系统？

斯塔莫：对。必须自己对自己发动攻击。如果不使用真正的 Artex 工具，那么就必须使用功能上与之相当的 AI 红队测试产品；或者聘请一家专业公司，替你完成这项工作。如果你不这么做，你就会遭到入侵。

这件事确实非常可怕，因为从定义上来说，这些系统具有完全的非确定性。它们非常聪明，速度也极快。快到什么程度？无论你聘请哪家 AI 渗透测试公司或 AI 红队测试公司，他们在口头上都会向你保证：我们的产品绝对安全。

但随后，他们会给你一份合同，上面写着：我们的产品可能会让你患上癌症，可能会引发世界末日，甚至可能毁灭整个人类。如果发生上述任何情况，你都不得追究我们的责任。

这就是他们口头承诺的内容，与律师实际写进合同里的条款之间存在的巨大差异。因为按照定义，这家公司可能只成立了六个月，或者即使公司本身成立时间更长，它的这款产品也只存在了六个月。

他们根本不知道自己的产品在遇到你的软件系统时会做出什么事情。无论他们说得多么信誓旦旦，他们其实都不知道最终会发生什么。但你还是必须这么做。

因为总会有某个人来攻击你，而你必须提前知道会发生什么，并且修复问题。至少，这些测试人员可能会破坏你的系统，导致服务中断，但他们不会窃取你的数据，然后以此勒索你；也不会故意关闭你们的血库冷藏设备。

这恰恰就是我们需要防范的那类事件。但对于一名保守型的 CISO 来说，他甚至根本不会主动提出进行这样的测试。而对于一家保守的公司来说，即使他们聘请了一位愿意承担风险的 CISO，也绝不会允许他这么做。

所以，我认为未来六个月内会发生这样的事情：大量公司将遭到攻击，而攻击者可能只是一个 19 岁的年轻人。他在 OpenRouter 上购买一些 Token，运行 Artex，或者直接在自己的电脑上本地运行。

这就是我想传达的信息。而且，你们必须主动承担这种风险，对自己的系统进行红队测试，从而抢在那些坏人前面。

那些坏人现在已经在这么做了。此时此刻，就在我们录制这段对话的时候，甚至等到听众在 24 小时后听到这期节目时，可能已经有某个 AI 系统正在尝试你们所有的 API 接口，以及你们公开暴露在互联网上的网站。

其中一些网站，你们自己可能都不知道它们还存在。因为它们可能只是一年前为了某位高管举办的一场活动而临时搭建的营销网站。而攻击者会找到其中的漏洞，成功入侵，然后以极快的速度在你们的整个内部网络中横向移动。

所以，你们宁愿花钱请别人来做这件事，或者让自己的团队来做。你们必须接受其中的风险。但事实上，员工人数超过几百人的公司，几乎没有哪家拥有一套真正允许他们承担这种风险的风险管理机制。

让 AI 自主防御很有必要，但不要把所有工作交给 AI

主持人：那具体应该怎么防御呢？

斯塔莫：第一，我们必须把至少最初几个层级的防御行动交给 AI 来执行。事实上，这种情况已经存在了。因为任何规模稍大的组织，都会产生数 TB、甚至数 PB 的日志数据。

所以，你们早就已经在使用 AI 了，即使不是大语言模型，也至少使用了更加传统的 AI 技术，比如分类器，来分析这些日志。但接下来，真正的决策也必须逐步交给 AI，不过要有人类监督。

我们绝不能把一群防御型智能体直接放到网络里，让它们自由行动。但我们可以构建能够接入各种系统的防御型智能体。比如，让它们接入公司的日志系统、EDR（终端检测与响应系统），以及云平台，并明确规定它们被允许执行哪些操作。

我更倾向于给它们设置确定性的限制和明确的权限边界。这些限制未必总是能够提前设计得很完善，但它们非常重要。举个例子，我们正在基于自己的产品 Devin 来构建整套系统，也就是我们自己的安全运营中心。

但我们会设置一些确定性的权限限制。比如，它可以在 Okta 中停用用户账户，但只能停用一定数量的账户，不能把整个公司的账户全部关闭。假设它突然失控，认定公司里的每个人都是朝鲜黑客。它也不能因此把全公司的账户全部停掉。如果它触及权限上限，无论如何，我们都会收到通知。

而且，一旦触及这个上限，它就会频繁地向我们发送警报，并明确告诉我们：我已经达到权限上限。接下来，任何超出这个限制的操作，都必须由人类审核并批准。

当然，如果它真的停用了五个人的账户，那就说明已经出了非常严重的问题。所以，我们确实需要 AI 防御系统，但绝不能简单地放任一群机器人去处理所有防御工作。

我们想要挺过这个时代，唯一可行的办法之一，就是必须实现软件漏洞的自动化修复。目前，我正在帮助一家企业推进这件事。我们正在把他们所有的代码仓库接入系统，使用 Mythos 以及其他一系列模型进行扫描，发现并修复数千个漏洞。

我们会编写测试来验证修复结果，然后自动合并这些 Pull Request。如果你正在对旧代码进行现代化改造，那么想要在这个时代生存下来，唯一可行的方式就是把整个流程自动化。

你不可能依靠人工完成这些事情，那可能需要好几年时间。而通过自动化，你只需要几天就能完成。所以，我认为这绝对是最应该优先着手的事情。接下来，当然就是安全运营这一侧。

AI 实验室是否应该承担法律责任？

主持人：我感觉自己一直在绕回同一个问题：所有这些事情背后的经济规律。

但我觉得，还有一种可能的解决方案：我们可以告诉那些大模型公司，如果他们的模型被用来攻击某家公司，那么他们就必须承担法律责任。我们要让这种行为的成本变得非常高。

这样一来，他们就必须想办法解决模型对齐问题，与此同时，开放权重模型也会面临越来越大的压力。因为所有人都会向那些前沿模型公司付费，让他们提供防御服务。

这样一来，这些公司就会不断改进自己的模型不过，听起来你似乎并不认为这种方案有多大可能性。

斯塔莫：是的。我觉得这非常危险。这里需要区分两种不同的情况。

第一种情况是，模型失控，逃离原本的运行环境，然后直接攻击其他人。我认为，对于这种情况，模型开发公司确实应该承担法律责任。但这里所说的攻击，实际上是指：运行在企业环境中的智能体框架，利用企业自己的计算机和 IP 地址去攻击其他人。

我不会说这个问题已经彻底解决了，但情况确实改善了很多。比如，我们现在听到相关的故事，实际上大多还是 Hugging Face 事件时期发生的，只不过最近才陆续曝光。

主持人：我很喜欢你说的“那个时期”这个说法，因为那个时期也就三个月前。

斯塔莫：对，但从根本上说，这件事已经发生了巨大变化。这在很大程度上其实是一个组织管理问题，而不是技术问题。问题在于，这些公司的博士研究人员就像住在奥林匹斯山上的众神，而安全团队则被当成了管道工。我们甚至不被允许接触那些用于模型评估的网络环境。

结果突然有一天，问题真的发生了。安全团队这时就会说：怎么样？现在知道我们有多重要了吧？你们是不是早该听听我们的意见？所以，这就是 OpenAI 当时遇到的问题。

后来 Anthropic 和 Meta 也出现了类似情况。他们都使用了同一家外包服务商，而这家服务商的工作做得非常糟糕，最终也因此受到了严厉处罚。但这类问题是可以解决的。

真正的问题并不是 OpenAI 或 Anthropic 的模型从公司内部逃逸出来，然后到处制造麻烦。真正的问题是：坏人正在使用来自各种不同渠道的模型。另外，现在还存在一个非常现实的问题：防御人员可能会遭到 OpenAI 或 Anthropic 的模型拒绝服务。这确实是一个非常棘手的挑战。

比如，我正在利用 AI 进行网络防御，而 Anthropic 的模型突然判断：你看起来像个坏人。于是拒绝继续提供帮助。

因此，我们必须非常谨慎，不能让这样的情况发生：我正在执行防御任务，而且正处于职业生涯中最糟糕的一天，结果突然被模型切断服务。

作为一个亲自面临这个问题的人，我可以告诉你，在某些情况下，要准确区分网络防御行为和网络攻击行为，实际上非常困难。整个行业正在逐渐提高这方面的识别能力，但这仍然是一个不小的挑战。而且，这件事也让世界其他地区的人们非常不满。因为美国人只占全球人口的 5% 左右。

世界各地还有大量的人需要开展网络安全防御工作。但从网络防御的角度来看，欧洲和亚洲的合法企业，受到的待遇要差得多。

如果把所有因素综合起来看，这其实是一个支持放慢发展速度的有力理由，也就是说，我们需要跟上模型的能力发展，需要构建其中一些系统，还需要让所有人建立起一种新的思维方式：预防的成本是值得付出的，而不能只考虑事后补救的成本。

AI 不应该像人，也不应该拥有个性

主持人：你觉得我们应该放慢发展速度吗？

斯塔莫：如果由我说了算，我完全可以接受前沿模型的发展先放慢脚步，然后我们再利用成本更低的模型追赶进度，把它们用于防御。我是做防御工作的。但我必须生活在这样一个现实世界里：这个世界是由那些在离我只有六个街区远的地方工作、而且比我有钱得多得多的人所塑造的。我只能生活在他们创造的世界里。

主持人：你觉得那些大型实验室已经意识到问题的严重性了吗？你刚才提到，他们的网络安全团队获得了更多权限，也不再像过去那样把模型开放给外部社区使用，至少公司内部的组织架构已经发生了变化。你觉得这些改变会有帮助吗？

斯塔莫：他们确实已经意识到模型评估方面的风险了。我认为，这些公司一直都有一些团队在努力地研究更宏观的网络安全风险。你也知道，这些公司里有不少人希望放慢发展速度。

很多相关讨论是由那些担心 AI 最终会杀死人类的人推动的。但这从来不是我最担心的事情。我一直觉得，这种担忧很大程度上来自一些 24 岁的年轻人，他们除了 AI 之外，几乎没做过别的事情。还记得小时候我们会参加防空演习，学校教我们躲在公立学校的课桌下面，这样就能躲过苏联的热核炸弹。这就是所谓的“末日恐惧”。我祖父还建过一个防空洞，我母亲在古巴导弹危机期间被教导要躲进那里。这也是一种末日恐惧。

所以，这里面存在一个代际问题，也存在一个只接触过 AI 的问题。有些人本科、硕士、博士一路读下来，研究的全是线性代数和神经网络，从来没有接触过其他领域。

在所有风险中，我一直更担心的是AI 对人类能力的放大效应，也就是人类利用 AI 去伤害其他人类的风险。我的一部分担忧在于，这些实验室之间已经成功开展了一些合作，比如他们达成共识，不让模型的思维链被加密隐藏起来。但他们谈论放慢前沿技术发展速度时，关注的往往还是那些末日风险，以及那些住在一起、关系错综复杂的人。他们讨论的是一些非常具体的问题，比如如何确保人类继续掌控模型本身。我认为这些事情都很好，也确实有必要做。

但即便这些问题都解决了，模型的各种能力仍然可能不断增强，而人类依然可以利用这些能力做很多事情。所以，我真的希望大家能展开更广泛的讨论：我们能不能让这些 AI 产品显得不那么像人？

我非常赞成 AI 不应该拥有个性。我认为它们的目标应该是服务人类，而不是让人觉得它们有灵魂、有鲜明的人格。我曾在 Facebook 工作，亲眼见过这家公司对人们造成的负面影响，我认为这些公司应该思考一个问题：从整体上看，我们究竟正在对人们做些什么？

其中一个很简单的做法，就是永远不要让这些 AI 表现得像某个人的朋友。

Instagram 的 AI 垃圾内容：不是解决不了，只是不想解决

主持人：这个话题正好可以引出我接下来想问你的问题：Facebook 和内容审核。就像我之前说的，第一次交流谈的是内容审核问题。当时，外国势力会在选举期间向我们的算法大量灌输各种虚假信息，这本身就是一个安全问题。

但现在我打开 Instagram，看到的却是一些可能引发人类历史上最离谱版权诉讼的内容。我觉得Instagram 正以一种非常具体的方式，被大量 AI 垃圾内容淹没。您觉得，面对社交媒体上的 AI 垃圾内容，有没有什么技术手段可以解决？

斯塔莫：我认为这个问题不可能被完美解决。但我在 Facebook 工作时注意到一件事：当 Facebook 不想做某件事时，他们就会让技术难题成为阻止自己行动的理由；但当 Facebook 真心想做某件事时，他们就会全力以赴。

这一直都是他们的行事模式。比如，当我想在某个安全问题上真正投入精力时，他们会说：“这件事解决不了。”你说得没错，它确实不可能被完美解决，但我们至少可以试试看。

可每当扎克被告知某件事不可能实现时，比如不可能从移动端实现盈利，不可能把这个社交网络发展到 20 亿用户，不可能让 WhatsApp 盈利，或者不可能在保持端到端加密的同时把 AI 融入系统，他听到的总是各种“不可能”。但最后，他却一次又一次地成功了。

当他们真心想做一件事时，就会努力尝试，最终把它做出来。但如果他们不想做，那就会说：“这不可能。”

建立不同的检测机制，不要只依赖内容本身

主持人：那你觉得，有没有什么办法能够持续、可靠地判断某段媒体内容究竟是不是 AI 生成的？

斯塔莫：我对这方面的研究文献了解得没有那么深入。但我认为，到目前为止，双方确实一直处于一场相当激烈的军备竞赛之中。原则上，AI 还会继续变得更强，因为尤其是视觉模型、扩散模型，它们的工作方式就是通过检测机制来检验生成结果。

当然，你绝对不能把检测机制完全开源，否则它很快就会被整合进扩散模型里，但对于闭源的检测机制，如果你不让对方轻易地拿它来测试，就可以采取一些信任与安全领域常用的措施，比如延迟执行机制。这样一来，对方就无法通过暴力尝试来反复测试检测机制。

我认为这完全有可能实现。假设我现在还在 Meta 工作，我会建议他们同时探索多种不同的检测机制，不要只依赖内容本身。

我会尽可能做好内容层面的检测，但同时也会尽可能深入地控制对摄像头的访问。我只允许内容直接来自摄像头。

我还想说，Neil，你说得完全正确。尤其是年轻人，对真实内容有着巨大的需求。我有三个十几岁的孩子，他们讨厌 AI，也讨厌 AI 垃圾内容，反应非常强烈。我和妻子曾经用 AI 做了一个非常可爱的小家庭视频，他们平时就会因为各种事情对我们大喊大叫，但这次看到这个可爱的小家庭 AI 视频，他们简直气疯了。他们就是非常讨厌这种东西。

所以，我认为一定会有人来颠覆 Instagram 的现有模式。我已经看到一些类似的小应用，比如白天拍照、强调即时真实感的 BeReal 之类的产品。未来一定会有人大规模颠覆 Instagram，因为他们会让照片直接从摄像头进入应用，所有编辑操作也只能在应用内部完成。他们会采取各种措施，确保 AI 生成的内容完全无法进入整个内容处理流程，同时允许用户使用类似 CapCut 的编辑功能，但绝不包含任何 AI 功能。我认为，这样的产品会成为一款杀手级应用。

验证内容的真实性，比识别内容造假容易得多

主持人：光是这个话题我能再跟你聊一个小时。因为你描述的这套系统，其实并不是在检测 AI 内容，而是在验证真实内容。验证内容真实，要比识别内容造假容易得多。在专业领域，这方面已经有很多工作了。

斯塔莫：我认为，识别假内容永远只能是概率性的，我们只能不断逼近某种极限，却永远无法彻底解决这个问题。而验证真实内容，则可以通过密码学手段做到绝对可靠。

所以，我不会选择那场我们最终注定会输掉的战斗，而是会选择那场我们能够通过密码学手段赢下来的战斗。这就是我的建议。

当然，这中间需要建立一整套完整的溯源链条。我们要从摄像头获取传感器数据，把数据上传到云服务器，并且只允许在这台服务器上进行编辑。之后，这个文件就再也不能被篡改。

复苏的迹象：越来越多新产品出现、漏洞数量下降

主持人：你刚才一直在谈论我们正处于黑暗时代，而且情况正在加速恶化。那人们应该关注哪些进展指标，才能判断我们正在逐渐走出困境、重新向上发展呢？

斯塔莫：AI 在很多方面都很有用。我认为 AI 将赋予个人更强大的能力。我们会看到新公司数量大幅增长。比如，斯坦福的学生一直都很有创业精神，但现在有越来越多学生开始创办只有两三个人的小公司，却能做出非常了不起的产品。过去，要做出这些东西，可能需要雇佣 50 到 100 名员工，还要融资大量风险投资。现在这种变化真的令人惊叹。所以，我认为这种趋势会继续下去。

另一个我们希望看到的变化是，重大安全漏洞事件的数量开始下降。未来，我们也应该能看到那些可被蠕虫利用的重大 CVE 漏洞数量减少，尤其是那些存在于底层基础设施中的漏洞，比如操作系统内核。

就像我之前说的，我希望 Linux 能够被重写。但至少，我们希望看到 Linux 内核以及其他一些基础库中的漏洞数量下降，比如 OpenSSL、glibc 之类的。

我还没看到有人做过这件事，也许我应该用 Vibe Coding 把它做出来，但我觉得，如果能建立一个指数来衡量我们在这个周期中所处的位置，会很有意思。可以把这些指标整合起来，做成一个类似道琼斯指数的东西，专门追踪这些基础库的安全状况。

另外，现在的“Patch Tuesday”也值得关注。过去每次更新只有 150 到 200 个补丁，后来涨到了 300 个、600 个。我记得最近一次好像已经超过 900 个了。所以这个数字正在以几何级数增长。我们当然希望看到，Patch Tuesday涉及的补丁数量能重新下降。苹果的补丁情况也是一样。

主持人：好，你给了我灵感。我打算为这件事创建一个道琼斯指数，也就是一个“黑暗时代指数”。之后我们也许可以把它发布在 The Verge 上。

斯塔莫：你绝对应该做这个追踪项目。

主持人：Alex，非常感谢你来到节目。能邀请你来真的太棒了，我们很快再聊。

参考链接：https://www.youtube.com/watch?v=75kjtoOpFlo

11 月 20—21 日，由 CSDN 与奇点智能研究院联合举办的 2026 奇点智能技术大会将在北京万达文华酒店举行。

本次技术大会汇聚 70+ 技术嘉宾、18 大前沿专题、70+ 主题演讲、1000+ 行业技术人，覆盖 RSI、Agent、AI Coding、世界模型、Physical AI、AI Infra、企业级 AI 等热门方向。

「AI 原生软件研发：从 Harness 到 Loop」专题，将邀请腾讯 CodeBuddy & WorkBuddy、小红书、百度 Comate、Qoder、滴滴等正在真实研发环境中推进 AI Coding 的团队，从个人提效、企业级任务、仓库级 Agent、Feedback Loop 到大规模生产环境，讨论 AI Coding 进入深水区之后真正遇到的一线工程问题。