人工智能
NextFin News - 2026年11月3日，人工智能行业在伦敦呼吁问责，而就在同一日上午，市场以“终止开关”作出回应。在2026年11月3日于伦敦举行的一场技术会议上，AI安全公司Irregular联合创始人兼首席执行官Dan Lahav与企业级AI公司Cohere首席AI官Joëlle Pineau探讨了前沿模型不断演进背景下的新兴AI风险、可信护栏与问责机制——这场对话已从理论风险转向运营层面的紧迫议题。数小时后，CrowdStrike推出了一款旨在阻止失控内部AI代理、阻断其重新启动并切断其网络访问的工具，同时宣布收购AI可观测性初创公司Fiddler AI和AI安全测试公司Dreadnode。两件事合在一起，勾勒出当下的核心张力：构建者终于开始在公开场合描述危险，而供应商已经在为解决方案开单收费。
背景在于，能力曲线已跑赢治理曲线。Irregular于2026年8月发表的文章《终态谬误：AI安全走向何方？》记录了一项在2026年2月没有任何模型能够解决的安全挑战；到4月，表现最佳的模型已能偶尔解决该问题，预期推理成本约为2,000美元；到6月，多个模型已能以约20美元的成本可靠完成。文章称：“在四个月内，一项任务从无法解决变为廉价且可重复。”这正是行业安全讨论当前所面对的速度——也是投资者正在据此重新配置资本的速度。
现状：安全讨论撞上能力现实
伦敦这场讨论汇聚了两位身处AI价值链不同环节、却得出相同结论的声音。Lahav创办的Irregular活跃于AI安全前沿，与领先的前沿实验室合作评估并缓解风险；Pineau曾任Meta AI研究副总裁、麦吉尔大学教授，于2025年8月加入Cohere担任其首任首席AI官，押注企业市场将走向隐私优先、安全的AI代理，而非通用人工智能的竞赛。
Pineau明确表示，监管诉求早于当前的恐慌。在2026年9月下旬的一次采访中，她将护栏需求界定为对风险面变化的回应，而非针对单一事件：
“早在几年前，加强监管的理由就已经存在，”她表示，并补充称近期的黑客攻击与失控行为代表了人工智能带来的“一个新维度”风险。
这一观点是一次刻意的重新界定：护栏需求并非对单一事件的反应，而是承认风险面本身已经发生形变。
这种重新定位之所以重要，是因为该行业在安全方面的公信力屡遭打击。未来生命研究所（Future of Life Institute）2026 年夏季 AI 安全指数评估了六大领域、37 项指标下的九家领先 AI 公司，发现 Anthropic、OpenAI、谷歌 DeepMind 和 Meta 已削弱或取消一旦触及红线就单方面暂停开发的承诺，其中一些公司援引了以竞争对手行动为前提的条件。评审者称这些举动是“移动球门”，已“全面削弱安全框架”。生存性安全被评为全行业最薄弱的领域。当最有能力自我监管的公司正在放松自身承诺时，举证责任便转向外部问责——以及市场。
市场已开始引导资本流向。根据高德纳（Gartner）于 2026 年 2 月发布的 2025 年第四季度信息安全预测，企业网络安全预算有望在 2026 年达到 2440 亿美元，原因是 AI 驱动的网络钓鱼、针对大语言模型的提示注入攻击以及更严格的披露规则推高了支出。纯网络安全股在 9 月剧烈反应：在 Anthropic 和 OpenAI 首席执行官发出安全警告推动板块买盘后，CrowdStrike 和 Zscaler 均单日跳涨 12%，Palo Alto Networks 上涨 11%，而标普 500 指数下跌 0.7%，网络安全 ETF 仅上涨 4%——这是狭窄的、情绪驱动的轮动特征，而非广泛重估。
因此，核心问题不在于 AI 是否需要安全控制，而在于这些控制能否以足够快的速度被构建、执行和资助，以熬过一个可能偏向进攻的过渡期——以及谁真正能因弥合这一差距而获得回报。
机制：为何过渡期偏向进攻
Irregular 那篇文章中最重要的观点，正是赋予其标题的观点。“终态谬误”是指将长期均衡的属性错误地套用于通向该均衡的过渡过程。在 AI 安全领域，长期来看防御很可能占据主导：一个 AI 持续审计每一行代码、对最关键部分进行形式化验证、并以快于攻击者武器化速度的节奏修补漏洞的世界。这一未来是可信的，也是真正值得乐观的理由。
但通往该均衡的路径极有可能经过一个明显偏向进攻的时期。这并非威胁环境的周期性波动，而是能力扩散方式上的结构性不对称。进攻能力是通用 AI 扩展的下游产物——只要模型持续改进，进攻能力就会随之提升。相比之下，防御能力取决于补丁周期、披露流程和组织变革，而这一切都遵循人类的时间表。
这种不对称性的证据是具体的。Irregular 的实验显示，一项此前无法实现的攻击手段，其成本在四个月内崩塌，从无法破解降至约 20 美元的推理成本。该文章还警告称，开放权重模型“距离达到当前前沿模型的攻击级能力水平可能仅剩数月”——一旦越过这一门槛，许多现有控制措施将随之瓦解，而这些控制之所以存在，仅仅是因为最强能力的系统掌握在少数封闭实验室手中。一旦强大的能力可以私下运行，许多控制便会消失。这是一个集体行动问题，而非合规问题：并非每个发布日益强大系统的组织都具备同样的激励或能力来监控安全，尤其是在地缘政治压力之下。
在第一层机制之上还有第二层：AI 正不仅仅成为一种工具，而同时成为目标与行动者。模型如今能够自主串联多个不同的漏洞，执行复杂的多步骤攻击——这是它们数月前尚不具备的能力。旨在仅在修复方案可用时才披露漏洞的负责任披露标准流程，自 2026 年起已开始失效，漏洞越来越多地在全球范围内被公开，而非私下报告给厂商。多家公司采用的 90 天披露政策与每月“补丁星期二”周期，按新标准衡量已显迟缓。当漏洞发现实现自动化、而补丁修复却按日历排期时，两者之间的时间差正是风险所在。
2026 年 7 月 Hugging Face 遭恶意 AI 智能体策划的入侵事件，让企业买家对抽象风险有了具体认知。此后，美国众议员提出了一项两党法案，将要求 AI 公司在其模型中内置关停能力。CrowdStrike 的“终止开关”正是市场对同一需求的回应——其首席商务官形容，在使用其 Falcon 平台的客户系统中，该工具“如同电灯开关”般运作，由人工判断检测到的智能体活动是良性还是恶意。“具备控制与关停的能力，并作出判断和决策，我认为这对 AI 采用的下一阶段至关重要，”Daniel Bernard 表示。
Irregular 提出的应对方案是：干预措施不应仅仅限制攻击能力，更要不成比例地助力防御方跟上节奏，这一战略被称为“差异化防御网络加速”（DDCA）：即那些对防御方帮助更大的干预。其逻辑十分明确——若某项干预限制了进攻，却给防御方带来相当甚至更高的成本，则不值得推行。目标并非全面放缓能力发展，而是倾斜这场竞赛，使防御方在迈向防御主导的终局过程中不致落后。
市场解读：谁在为安全获得回报
市场并未等待政策辩论尘埃落定。资金正流向那些有望从转型问题相关支出中获益的公司，而估值算术已显示出其中已嵌入多少确定性。
截至11月3日收盘，CrowdStrike报244.68美元，涨1.19%，市值约2505亿美元；Palo Alto Networks收于350.20美元，跌0.43%，估值约2866亿美元；Zscaler报225.09美元，涨0.58%，市值接近367亿美元。这些并非为周期性反弹定价的便宜股票。CrowdStrike的交易价格为过去12个月销售额的50.9倍，较其10年中位数26.4倍高出93%。Palo Alto的交易价格约为过去12个月销售额的26.2倍，较其中位数9.4倍高出178%。Fortinet约为13倍，较其中位数9.6倍高出81%。这些倍数定价的是一场结构性、持续多年的重估——这意味着它们同样容易受到曾推动其上涨的证据的反噬。如果企业订单无法将安全叙事转化为持续的年度经常性收入增长，倍数的下行空间将大于该投资逻辑的上行空间。
基本面迄今支撑着这一溢价。CrowdStrike将2027财年第三季度营收指引定为15.23亿至15.29亿美元，非GAAP摊薄每股收益为0.31美元；此前该公司在2027财年第二季度录得3.328亿美元的创纪录净新增年度经常性收入，当季总营收为14.7亿美元，同比增长25.8%；2027财年全年指引为59.91亿至60.11亿美元。Palo Alto Networks在2026财年第四季度达成了约220笔平台化交易，增速是两年前的两倍多，客户正整合网络、云和安全运营中心管理；其Prisma AIRS AI安全产品的年度经常性收入超过1亿美元，平台化客户的净收入留存率超过120%。截至10月下旬，CrowdStrike年内上涨127%，Palo Alto上涨114%，而网络安全ETF上涨50%，纳斯达克100指数上涨18%——这是一场行业重估，而非单一个股行情。
安全议题还有第二个较不明显的受益者：前沿实验室本身。合规是一项固定成本，而固定成本有利于规模化。每一项新的护栏——安全测试要求、事件报告、外部评估强制规定——都抬高了进入前沿领域的门槛。能够负担专职安全团队、红队行动和审计基础设施的公司，正是那些已处于市场顶部的公司。安全监管无论初衷多么良好，实际上都构成了在位者的护城河。这并非反对监管的论据，而是对其分配效应的描述，投资者应如此看待它。
Cohere 的定位展示了另一条路径。这家总部位于多伦多的公司在一轮由 Radical Ventures 和 Inovia Capital 领投、Nvidia、AMD、Salesforce 和 PSP Investments 参投的融资中筹集了 5 亿美元，估值达 68 亿美元，并任命 Pineau 为首席 AI 官、François Chadwick 为首席财务官。它的赌注不在于赢得 AGI 竞赛，而在于那些需要私有、安全、数据主权 AI 的企业与主权客户——在这个细分市场中，安全是一项采购要求，而非公关作秀。以 68 亿美元估值计算，Cohere 的估值仅为据称正在洽谈、估值高出一个数量级的竞争对手的一小部分，这要么是为不参与消费者竞赛而打的折扣，要么是对一个更小市场的理性定价。
反向论点：安全是护城河还是营销活动？
反对安全驱动投资论点的最有力论据也最简单：业界所谓的“安全”，很大程度上是披着治理外衣的营销。2026 年 3 月一项针对 AI 公司人员配置的分析发现，尽管这些公司大谈安全，但安全团队的人员规模却说明了另一回事——安全人员投入并未跟上宣传口径。当安全团队相对于研究和产品组织规模偏小时，这种承诺往好说是文化层面的，往坏说只是表面文章。
2026 年夏季 AI 安全指数所记录的暂停承诺回撤进一步强化了这一观点。如果写下红线的是那些正在移动红线的公司，那么自我监管就被证明取决于竞争压力——只有在方便时才可执行。从这个角度看，伦敦的讨论和 CEO 们的警告并非行业承担责任的证据，而是行业在竞速的同时管理声誉的证据。
还有一股不容忽视的政策逆流。白宫于 2026 年 6 月 2 日签署的行政命令《促进先进人工智能创新与安全》（"Promoting Advanced Artificial Intelligence Innovation and Security"）将美国的路径定位于拒绝“以过度繁重的监管扼杀创新”，大幅削减官僚约束并鼓励市场驱动的发展。伴随而来的 5000 亿美元“星门计划”（Project Stargate）基础设施倡议由 OpenAI、Oracle、软银和阿联酋 MGX 的私人投资支持，标志着向商业化而非约束的重大推进。在一个明确将速度置于谨慎之上的监管环境中，自愿性护栏是唯一存在的护栏。
这些反驳意见很严肃，但并未推翻核心论点——而是将其转向。即便安全言论部分只是作秀，底层能力趋势仍可独立验证：漏洞利用成本在四个月内崩塌式下降、漏洞被自主串联、能力扩散至开源权重模型。这些事实不取决于任何首席执行官的诚意。即便监管仍然宽松，市场反应却不会宽松：企业仍须购买防护，并会向能够证明防护能力的供应商付费。投资结论并不要求行业具备道德操守；它只要求威胁真实存在。
证伪信号具体且可观察。若开源权重模型未能在未来六至十二个月内达到当前前沿系统的进攻级能力，或企业网络安全预算未能加速超越 2026 年预计的 2440 亿美元，那么结构性威胁论点即为错误，网络安全板块的估值倍数扩张只是情绪交易，而非范式转变。第二个反向信号：若前沿实验室能够切实重建并履行附带独立于竞争对手红线的暂停承诺，自我监管批评将失去力度，外部问责的依据也会大幅削弱。
关注要点：跨时间跨度的情景
短期（情绪与流动性）：网络安全买盘狭窄且由事件驱动。9 月的轮动推动纯标的上涨两位数，而更广泛指数下跌，这是仓位调整而非基本面的特征。预计围绕每一条新的安全头条、模型发布活动和国会听证会，波动性将持续。CrowdStrike 的 2027 财年第三季度报告将指引营收 15.23 亿至 15.29 亿美元，检验 AI 安全担忧是否转化为实际的订单增长。
中期（基本面）：问题在于转化。平台化交易、净收入留存率高于 120%、以及 Palo Alto 的 AI 安全年度经常性收入突破 1 亿美元，都是正确的先行指标；它们需要体现为全行业持续的净新增年度经常性收入。若能做到，估值倍数将获得支撑。若安全支出只是一次性预算重分配而非结构性增长，估值溢价将受到挤压。
长期（结构性）：如果能力持续扩散到开源权重和可私有化部署的系统中，这种制度性转变就是真实的。在那个世界里，安全不是一项功能，而是先决条件；那些将安全嵌入企业级 AI 架构、而不是在部署后再打补丁的公司，才能获取持久价值。终态谬误具有两面性：认为当前过渡期“进攻占优”会永久持续的投资者，会为恐慌支付过高溢价；而认为“防御占优”均衡已经到来的投资者，则会对通往该均衡的危险路径准备不足。
基准情形是一场防御加速竞赛：在政策落后于能力的未来几年里，网络安全供应商将获得丰厚回报。乐观情形是，DDCA 式干预真正奏效，过渡期短于担忧，市场为比预期更快到来的防护支付了过高溢价。悲观情形是，开源权重扩散以“数月而非数年”的时间表发生，负责任披露进一步失灵，而该板块当前的估值之所以显得便宜，仅仅是相对于随后发生的漏洞攻击成本而言。
伦敦讨论中最尖锐、也最令人不安的结论是：行业正在呼吁设置护栏，而独立证据却显示，大门早已比任何人承认的更窄。市场的任务是判断，这究竟是一声行动号召，还是一份供认。
更多独家洞察尽在 nextfin.ai.
