社区

过去两年，如果问美股最耀眼的主线是什么，大多数投资者都会脱口而出：AI算力。 $英伟达(NVDA)$ 、台积电、微软、亚马逊、CoreWeave、甲骨文……资本市场几乎把所有聚光灯都打在了GPU、数据中心和云基础设施身上。然而最近发生的一件事，却让华尔街突然意识到，AI时代最稀缺的资源，也许不是算力，而是安全。

就在市场还沉浸在新一轮AI狂欢中时，一则关于底层编程语言PHP严重漏洞的安全预警，意外引爆了整个网络安全板块，Palo Alto Networks单日上涨约7%，Zscaler上涨7.8%， $CrowdStrike Holdings, Inc.(CRWD)$ 也是逆势上涨5%以上，多只网络安全ETF同步走强。表面上看，这好像只是一次典型的漏洞事件驱动。

全球70%的网站都使用PHP，十多年来，这个支撑互联网大量网站运作的技术，一直存在严重安全漏洞，却始终未被发现。直到人工智能AI揭露这些漏洞，才引发全球网络安全警报。这些漏洞存在于一种名为PHP的程式语言。自2000年代以来，全球各地一直广泛使用PHP建立网站。上个周三10月21日那天，这个漏洞曝光出来，世界各地的政府和网络安全机构正紧急采取措施控制影响，敦促网站营运者安装最新推出的紧急修补程式，否则应考虑暂时关闭网站。参与发现漏洞的网络安全公司Wiz形容，这是迄今由AI发现的“最严重”安全漏洞。

但如果把时间线拉长，你会发现市场真正交易的，远不只是一次安全事故，华尔街正在重新定价一个越来越重要的事实，AI负责让企业跑得更快，而网络安全决定企业能否活得更久。

对于我们普通投资者而言，PHP似乎已经是一种存在感不高的技术语言，但事实上，它仍然是互联网世界最重要的基础设施之一，WordPress、Drupal以及大量企业官网、电商系统、内部管理平台，都建立在PHP生态之上。换句话说，PHP不是一家公司的产品，而是整个互联网的底层公路。而此次漏洞最危险的地方在于，它允许未经授权的远程攻击者直接执行服务器代码。

这意味着什么？简单来说，如果你的企业系统存在漏洞，黑客甚至不需要登录账号，就可能直接进入服务器控制层，于是CISA发布了异常严厉的安全通知，立即更新补丁，排查受影响服务器，无法及时修复的系统建议下线，很多企业IT部门第一反应不是研究新功能，而是连夜检查基础架构。因为问题已经不是提升效率，而是如果不处理，业务可能无法继续运行，这也是为什么市场反应如此剧烈。

投资者意识到了一件事，一家企业可以延后采购GPU，可以推迟新的AI项目，甚至可以减少部分云资源支出，但当漏洞已经威胁到核心系统时，安全预算没有削减空间。

很多人习惯把AI和网络安全看成两个独立行业，实际上恰恰相反，AI的发展，正在成为网络安全最大的增长引擎。过去企业IT系统相对简单，员工登录系统， 数据存储在数据库， 程序运行在固定服务器，攻击面有限。

而现在的企业越来越像一个巨大的数字网络，多云部署，SaaS应用，API接口，移动终端，大模型服务，自动化工作流，每增加一个连接点，就增加一个潜在风险点。如果说数字化时代让企业从一栋平房变成一座摩天大楼，那么AI时代则是在摩天大楼外面再修建无数条高速公路，效率提升了，风险也同步放大。

很多企业正在为Copilot、ChatGPT Enterprise、Claude、Gemini等工具付费，但真正的问题从来不是模型有多聪明，而是这些模型能够接触什么，因为权限，本身才是真正的价值。

Agent与普通聊天机器人最大的区别在于它不仅能回答问题，还能执行任务。例如自动读取邮件，自动分析财务数据，自动修改代码，，自动提交采购申请，自动调用支付接口，为了提高效率，企业必须赋予Agent越来越多权限，而这也带来了一个全新的风险。

过去黑客攻击企业，需要经历复杂流程，突破边界防御，获取账号权限，横向移动，逐步渗透，整个过程可能持续数周甚至数月。但Agent时代不同，如果一个拥有高权限的Agent被诱导、欺骗或被攻击控制，那么很多传统防线将被直接绕开，最危险的情况甚至不是外部黑客，而是Agent在“合法权限内”执行错误操作。

因为系统会认为它有权限这么做，于是安全行业关注的重点开始发生变化，过去重点是保护人，未来重点将变成保护机器身份。

很多投资者已经熟悉身份认证赛道，例如 $Okta Inc.(OKTA)$ ，CyberArk，Ping Identity等，这些公司过去主要管理的主要是人的身份，例如员工是谁？权限是什么？能访问哪些系统？但未来企业里的身份数量，很可能不再由人类主导，而是由机器主导，研究机构预计，在未来几年内，企业网络中的机器身份数量将远远超过人类身份。

一个Agent，一个自动化脚本，一个API，一个云服务实例，都可能拥有独立权限，于是新的问题出现，谁授权？谁监管？谁回收？谁审计？如果这些权限失控，风险将远超传统账号泄露，如此一来，AI时代最刚性的预算，可能不是算力，而是安全。

因此近两年华尔街越来越关注几个新方向，零信任（Zero Trust），默认任何人、任何设备都不可信，每次访问都要重新验证，云原生安全（CNAPP）帮助企业监控复杂的云环境，数据防泄漏（DLP）防止敏感数据被AI模型调用或外流，非人类身份管理（NHI）管理Agent、脚本和自动化程序的权限体系，这些领域很可能诞生下一批百亿美元级安全公司。

朋友们觉得呢 ？[鬼脸]

#小虎行业观察

@小虎活动 @小虎热点雷达 @Tiger_Million_Dollar_Club @Tiger_comments @TigerStars @Tiger_SG

@WallStreet_Tiger @TigerClub @CaptainTiger