# 坏人已经在用AI了：Palo Alto CEO聊DeepSeek与安全新秩序 > Training Data No. 32 中文精读 - 原标题：Palo Alto Networks’ Nikesh Arora: AI, Security and the New World Order - 发布日期：2025-02-18 - 主持：Sonya Huang · Pat Grady · Konstantine Buhler 等 - 网页版：https://trainingdata.qiaomu.ai/ep/032-palo-alto-networks-nikesh-arora-ai-security-and-the-new-worl-rqgCXc.html - 精读字数：约 5815 字（阅读约 13 分钟） > 本文为 trainingdata.qiaomu.ai 基于原始访谈的 AI 改写中文精读，非官方翻译；引用请注明出处并链接网页版。 红杉资本的播客《Training Data》向 Nikesh Arora 发出邀请，他回邮件时提了个条件：可以上节目，但必须让我聊 DeepSeek 和新世界秩序。 这个要求有点意思。Arora 执掌的 Palo Alto Networks 是全球最大、市值最高的网络安全公司，7 万家客户，市值超过 1200 亿美元。再往前，他在谷歌当了十年首席商务官，看着营收从 30 亿美元涨到 650 亿，履历里还有 T-Mobile 和软银。更早的 1999 年 11 月，他是拿过奖的电信行业卖方分析师，写过一份研报预警互联网泡沫，那份报告他留到今天。 一个靠防住坏人吃饭的人，主动要聊一个便宜到离谱的模型。节目里，主持人 Pat Grady 引用了一份刚发布的报告：DeepSeek R1 在 50 次 prompt 注入攻击里，50 次全部得手，成功率百分之百。 Arora 的回应出乎意料：这不重要。 他的逻辑是，所有大模型出厂时都是裸的，护栏要另外花钱建。早期版本的 ChatGPT 和 Gemini 都被越狱过，更贵的模型同样有侧门。DeepSeek 护栏薄这件事本身不算新闻，真正的问题是：你打算拿这个模型干什么。 > 「不管你拿到的是什么模型，一旦部署到精确场景、给了它手脚，你就必须在上面叠加更好的护栏和管控。」 用他的话说，这就是套上紧身衣：模型是拿来改进制造流程的，就别想跟它聊莎士比亚。 Palo Alto 自己看到的用例有两类。第一类是员工用 AI 做增强，写邮件、查资料，企业怕的是专有数据被喂进公开模型，回头变成别人的知识库，他们的产品负责拦截和管控，让企业放得开手又看得见流向。第二类是企业自己跑 AI 项目，最流行的是客服聊天机器人，其次是工作流自动化，激进一点的已经让 AI 碰非关键的控制系统。企业怕的是模型失控、答错、被劫持，对应的产品叫 AI 防火墙，检查进出模型的一切流量，可以跑在本地。模型答得对不对，归模型厂商管；Palo Alto 管的是模型不被劫持、不被操纵。 ## 便宜的大脑，在他眼里是机会 Arora 有一套自己的心智框架：大模型就是一个大脑，能记住一切、处理一切、做模式识别。用公开数据训练的大脑会得出错误结论，这就是幻觉。真正的分水岭，是什么时候给它接上手和脚，让它自己做事。 太早放手会出事。他举了两个例子：有公司太早给模型权限，模型开始免费送车、主动给乘客退机票，按他的说法，那是幻觉的另一种形态。另一边，Waymo 的车里真的坐着没有司机的乘客，说明窄场景、任务明确的用例已经在放开。 所以 DeepSeek 到底花 600 万美元还是更多，他完全不站队。他的判断是：**如果有人能便宜地造出大脑、便宜地提供出去，机会就会扩散到大量创业公司手里，大家可以把这个大脑部署到各种任务上。**行业过去几年的共识是花大钱造大模型，现在看，任务专用模型可能便宜得多。这就是他说的「新世界秩序」。 顺着这个逻辑，红杉另一位主持人 Sonya Huang 问他：AI 实验室会不会被国有化？答案是不会。**一个好模型如果只要几百万到几千万美元就能造出来，实验室可以开在任何一个监管宽松的国家，你根本管不过来。**5000 万美元扔进某个服务器集群，模型就出来了。只有当 AGI 需要 5000 亿美元的超级集群时，监管的手才够得着。 监管他会怎么设计？分两类。关键系统，比如航线调度、货柜、电网，在交给 AI 控制权之前要过一轮认证，类似 FDA 审批新药，因为出错不可逆。非关键场景靠自我问责，像汽车厂商对安全带负责那样，你把 AI 部署砸了，责任是你的。理由很朴素：任何监管机构都不可能检查全世界的算力和数据。 Pat 提起他 1999 年那份预警泡沫的研报，问：这次是泡沫吗？他说：闪电不会劈中同一个地方两次，我怎么知道。但有一点确实不同，这一轮的通胀集中在「水管」上，而水管是真的，芯片销量是两年前的四到十倍，有真收入撑着。真正看不懂的是那些往前投影的估值曲线。他留了个开放题：Stargate 是未来，还是 DeepSeek 是未来？5000 亿美元的超级大脑，还是一堆便宜好用的专用模型？ ## 坏人已经在用AI了 Sonya 问了一个好问题：AI 带来的威胁里，哪些是真的，哪些是学术想象？她想起自动驾驶刚兴起时，人人都担心路面上的对抗样本贴纸会让汽车变成武器，后来证明是纯理论风险。LLM 领域是不是也有这种纸面恐慌？ Arora 的回答：坏人用 LLM 加速攻击，已经在发生。 Hugging Face 上有 3000 个模型，挑一个没装护栏、没装道德约束的，把一个 CVE 漏洞喂给它，问它攻击分几步。或者更狠：告诉它「我试了方案 A 和 B，都失败了，因为系统返回这个报错」，它会建议你试试方案 C。**效果是攻击者从得手到拖走数据的时间被大幅压缩。** 这是一个不对等的游戏。坏人只需要对一次，防守方要百分之百对。防守方唯一的办法是吞下企业所有 IT 系统的日志，用 AI 实时找出异常行为，他们自家的 XSIAM 平台就是干这个的。Pat 追问：那现阶段 AI 是不是在边际上更帮坏人？他承认，是的，因为防守方的工具还没铺开。 他把电影往前放五年：攻击 agent 在企业基础设施里四处找没锁的门，防守 agent 到处巡逻锁门，两边 agent 天天交战。他说这不是科幻，但前提是企业数据要先来一场大整顿。 至于纸面风险，他给了一个足够具体的场景：假设模型聪明到顶尖大学博士研究员的水平，你把公司所有阿尔茨海默、帕金森的药物数据喂给它做药物发现，对社会是巨大贡献。但同一个大脑，换个提问方式，就能设计病毒。**真正的问题是怎么保证这个训练好的大脑不落入坏人手里。** ## 不实验，才是真正的不负责任 Pat 替一众 CEO 问了那个最实际的问题：想用 AI，又怕员工用 AI 扩大攻击面，又怕坏人用 AI 打进来，怎么办？ Arora 的回答不客气：这是被误导的恐惧。 把模型跑在封闭的本地集群或专属云里，不接外部，不给它任何控制权，只让它出答案。你拿它的答案跟自己最好的研究员做 A/B 测试，看谁快、谁好。这个实验零风险，今天就能做。**用他的原话说，现在还不敢做实验的公司是不负责任的，因为这件事不会消失。** 他自己是怎么学的？2022 年底，他在飞印度的航班上听说 ChatGPT，在迪拜机场转机的两小时里玩了个遍，把整个演讲稿重写了一遍。他说自己在演讲里讲了「你们即将见证最大的技术革命」，但黄仁勋嗓门大，又是 AI 总司令，「iPhone 时刻」那句名言就归他了。 回公司第一件事，他问团队懂不懂 AI。答案是不懂，但人人都有观点。于是他把高管全拉进培训室，请来谷歌云的 Thomas Kurian 团队、AWS 的 Matt Garman 团队，还有一批创业公司，每个月花两天做脑力灌输。收到 70 个想做的点子，砍到 7 个，用 Vertex AI、初代 ChatGPT、初代 Claude 把能跑的全跑了一遍，跑完就知道什么有用、什么没用。 Pat 问他最大的意外是什么。早期模型最强的三件事：模式识别、数据总结、无限记忆。原来 50 个人解同一个客户问题，有 50 种答案，质量取决于你电话打到谁那里。现在让模型先给一个基准答案，人再在这个基础上干活。**整个团队的平均水平被抬高了。** 他的警告很直接：每家创业公司都在学的时候你不学，最后创业公司就把你的生意做了。云、移动、互联网，每次技术革命都一样。大公司握着所有牌，结果每次转角都冒出一个创办 Uber 的 Travis、一个创办 YouTube 的 Chad Hurley、一个拉里·佩奇、一个扎克伯格。 聊到 AI 棋局，他觉得比外界看的清晰。两个极端：一头是 AlphaGo 那种微调过的专用模型，DeepMind 拿来做药物发现；另一头是 Claude、Gemini、OpenAI 这些通用大模型。搜索时代的老剧本会重演：谷歌搜索做不好本地搜索，就有了本地搜索；做不好商品搜索，亚马逊就把商品搜索做了。他还反问：葛兰素史克、诺华、辉瑞怎么可能把数据放一起，训出最好的药物发现模型？企业场景要的是精确，特斯拉转错弯会出人命，Palo Alto 错拦一次会拖垮客户的基础设施，**高后果场景需要更专的数据和更好的模型**。通用模型那头，能把它接到自家消费级产品上的躺着赢：谷歌有 30 多亿用户，Meta 也有 30 亿，而 Sam Altman 用订阅制做出了一个全新的消费级入口，这是他目前的护城河。 ## AI 会把安全行业翻个底朝天 Sonya 问，AI 会不会像防火墙、身份、云那样，催生新一轮安全平台公司。Arora 说，AI 有机会把安全整个翻过来。 他的出发点是：安全本质上是大海捞针。传统安全 95% 的预算花在边界防御上，5% 花在检测和修复。买防火墙、买终端 agent、买 XDR，这套东西管用，因为大部分攻击确实被挡在了外面。 但出事的根源，往往是你放进来什么。零日攻击没见过签名，防不住，唯一的办法是吞下全部数据，实时做模式识别，找出异常行为。这件事只有 AI 能做到实时速度。 顺着说，安全公司卖的其实是两样东西：边界上的传感器，和后端的数据分析。要做 AI 安全产品，就得站在数据收集点上。这恰好是 Palo Alto 的老位置，他们有 27 个产品进了魔力象限。但他自己补了一刀：历史上站位置最好的人经常被干掉，因为躺着吃老本，所以他们不敢懒。 创业公司的难处他也讲得很直白：每家安全创业公司都得先给客户部署一圈传感器，然后说把数据全给我。客户的反应是：等等，你要我全部数据？你哪位？**大数据问题是创业公司最难跨的坎。** 那安全团队敢不敢给 AI 手脚？他的回答：怕得要死。但他马上补了一句，安全团队通常说了不算。Waymo 要是先问安全负责人，这个项目根本不会存在，特斯拉 FSD 也一样。安全负责人的本质是风险管理者，世界上最安全的房间没有门也没有窗，但也没法用。他们会设一道道闸门，然后放行。 ## 敏捷自评7.5分，收购只买前两名 红杉合伙人 Jim Goetz 从 Palo Alto 创立就认识这家公司，他抛来两个问题：给自己公司的敏捷度打几分？这么大的组织怎么保持速度？ Arora 打 7 或 7.5 分。15000 名员工，五六千人在产品线，7 万家存量客户，任何改动搞挂客户的基础设施，公司就失去经营许可。在线安全产品天生要求高可用，出错比不出货更糟。七年前整个行业也就三四分，现在大家都在追。 怎么保持敏捷？看到别人做得好就去拥抱，一个 50 到 100 人、拿风投的钱、全速奔跑的团队，等你反应过来它就是每天市场上的对手。他们做了 19 次收购，但超过一半的产品是自己造的，两条腿走路。挨打之后，比的是多久爬起来，别让人数到十。 他管第三层叫「无情检查」，例子最精彩。销售团队一直说每个客户经理都有客户计划，他不信邪，一年半前挑了个难熬的季度，宣布从第一个客户开始，他亲自看。五页 PPT，Zoom 上讲给他听。到现在看了 750 份，昨天一天看了 15 份，每次有 500 个员工在线围观，全公司的销售都能进来学：谁决策、懂不懂产品、为什么讲这个不讲那个。计划不扎实的，总裁 BJ Jenkins 和产品负责人直接下场帮忙。会议室里的人当场在 LinkedIn 上找人补关系。 他办公室的白板上写着第二句话：销售是道数学题。产品有人买，为什么还会丢单？去检查过程，多数时候查出来的是执行错误，偶尔才是产品问题。 聊到用人，他说自己不容忍糊涂人，因为很多事都能修，智力修不了。找到聪明人要留住，还要看态度：愿意学、谦逊、把自己当团队一员。领域知识也绕不开，创始人 Nir Zuk 和首席产品官 Lee Klarich 就是他的智囊，他挑战他们，他们也顶回来。 > 「我从没见过哪个人早上出门是为了把工作搞砸的。问题出在我们创造的工作环境里，出在管理者身上。」 这是他在全员会上常讲的原则。选对了人，剩下的就是管理的活。领导者的三件事，他讲得像教科书： - 找到北极星，告诉大家爬哪座山。最好的登山者如果不知道目标，就散落在八座山头上。他要争论、说服、协调，最后必须有个人拍板。 - 有可行的计划，配上足够的资源。他刚到 Palo Alto 时发现，云安全的收购做了，XDR 的收购做了，建 SIEM 的想法也有，就是没写计划、没配资源，资源只有需要的十分之一。**没有计划就只是点子，点子不值钱。**他的比喻：给我一把镐、一把铲、两个人，让我去挖铂金矿？ - 持续沟通，清掉挡路的石头，人也好、资源也好、合同也好，给团队开路。 19 次收购，创始人几乎都留下来了，这在行业里少见。他的原则： - 只买品类前两名。行业惯例是第一名卖 10 亿、第三名卖 2 亿，买第三名回去抛光。他说第三名便宜是有原因的，客户发现的坑你还没发现，最大的对手还在前面四步，你只是把一个敏捷的第三名变慢了，还给前两名送了机会。浏览器安全的 Talon、数据安全态势感知的 Dig，都是按这个标准筛出来的。 - 说服创始人相信合在一起比单干好，不做买完就扔。你买的是北极星、执行计划和团队，好产品要造四到七年，被买时通常才走完三四成。 - 签约第一天起就是自己人。他来自一个曾被殖民统治的国家，受不了收购方和被收购方那套上下级关系。 - 财务法务做尽职调查的同时，给创始人六周时间，一起做出联合产品计划和联合组织架构图，任何一方不满意就不成交。头两三次没这么做，之后花六个月吵产品方向和谁管谁，学费换来的规矩。 成交后创始人通常直接当高级副总裁管自己的业务，Palo Alto 的老人给他们打工。他的逻辑：你手里资源更多还输给了人家，正好学点东西。 ## 明天就能做的事 节目结尾的快问快答也值得一看。英伟达市值 2.9 万亿美元、市盈率 39 倍、盈利年增 150%，做多还是做空？他的回答是「我看不懂」，但他敬重黄仁勋打的长线，还补了句硬话：人类历史上，算力、带宽、内存从来没有收缩过。执行力最强的 AI CEO，他选了 Sam Altman，ChatGPT 之前没人天天把 AI 挂嘴边，现在七大巨头全在砸钱建算力，因为没人想掉队。连他合伙买板球队伦敦精神都是同一个思路，要买就买最好的。 整期聊下来，能上手的有这么几件： - 把一个模型装进封闭环境，不给任何权限，拿它的产出跟你最好的员工做 A/B 测试。这是 Arora 认证过的零风险起点，不做实验才是风险。 - 学他的 70 砍 7：收集团队的 AI 点子，砍到能跑的几个，用现成的模型全跑一遍，跑完自然知道什么有用。 - 让模型先给基准答案，人再上手。这是抬高团队下限最便宜的办法。 - 查一查安全预算的比例。如果 95% 还花在边界防御上，零日攻击来了照样防不住，钱该往检测和响应上挪了。 - 丢单的时候别急着怪产品，去查过程。销售是道数学题，漏斗里每一步都查得到。 最后用他自己的经历收尾：ChatGPT 出来的时候，他在迪拜机场坐了两小时，把演讲稿重写了一遍。区别就这么大，就看你什么时候开始上手。