CDN巨头CTO预言：未来18个月一半工程时间要用来补漏洞
漏洞披露速度从一年一次变成每周多次，连TLS信任根密钥都曾被人用种子数字4破解——CTO说未来18个月，一半工程资源要砸向安全。
原视频在 YouTube 上放不出来，用音频听：
核心论点 · 点时间戳可跳到原声
log4j级事件从一年一次变每周
过去互联网上的log4j级别安全事件大约一年发生一次，出现时Cloudflare要全员加班去保护付费客户和免费客户。但过去三到六个月，被报告的漏洞数量呈指数级增长，这种log4j级别的事件现在每周都在发生——只是大多数没被公开报道。Dane预计未来18个月，大多数工程团队的时间会花在安全上。
— Dane KnechtTLS根密钥曾被种子数字4破解
一个保护全网TLS连接的WebPKI根密钥，其随机种子被发现只是数字「4」——因为密码学的安全性全靠随机性（这也是Cloudflare用熔岩灯做随机数源的原因），弱种子很容易被逆向。Dane提到，就在采访前一周，OpenAI已经把2000年发布的NIST椭圆曲线种子也破解了出来，说明AI模型在密码学攻防上的能力正快速逼近前沿。
— Dane Knecht高中生拿agent干国家级黑客的活
最近几起较大的漏洞并非国家级黑客所为，而是把AI agent当作新工具的高中生——他们过去玩CTF夺旗赛，现在直接把agent指向一片目标区域去找漏洞，还有真金白银的漏洞赏金在驱动。Dane的判断是：agent把过去只有国家级对手才有的攻击能力下放给了普通人，这也是过去15年第一次有资深技术人士开始说「把重要系统物理隔离」这种话。
— Dane Knecht减攻击面说起来容易，AI模型帮倒忙
Dane说应对安全问题要回到第一性原理：减少攻击面，用更少的代码给漏洞更少的藏身之地。但他也承认，现阶段的AI模型反而是问题的一部分——AI很「话痨」，写代码偏向冗长和复杂，并不天然帮你做减法。真正把代码砍到十分之一复杂度、判断「这样设计才站得住」仍然要靠人的判断，需要工程师培训、安全团队复核、流程约束一起上，不是靠模型升级就能单独解决。
— Dane Knechtagent逛一千个网页，却没人付钱
Dane把现在的互联网形容成「混乱的中间地带」：人类和AI agent走在同一套为人类设计的网页轨道上，agent一分钟能逛一千个网页，却没有匹配的经济模型。他设想的解法是，网站本就知道自己的CPM（千次展示广告收入），agent读内容时可以自己判断要不要为这次阅读付费，但这需要能支撑每秒百万级微支付的新支付轨道——他认为这还要「两年」才能成形，不过agent会把这件事往前推。
— Dane Knecht三个团队的流程被一个工具取代
今年五月Cloudflare做了一次痛苦的重组，第一次主动裁员。Dane把公司比作要重新设计的工厂流水线：以前一个产品经理想给客户群发一封邮件，要经过BI团队拉名单、市场团队调语气、市场运营团队发送，涉及三个团队。重组后变成一个工具：产品经理自己描述目标客群、写邮件，系统按Cloudflare的语气风格改写，经理点一下批准就发出去——不是三个团队各自提速，而是用一个工具取代了整条流程。
— Dane Knecht5000人公司今年招了1000名实习生
两年前Cloudflare招了约200名实习生，Dane发现这批人是真正「AI原生」的一代——拿走AI他们可能都不会干活了，而带过这批实习生的经理，之后采用AI工具的速度明显更快。于是今年，这家约5000人的公司一口气招了1000名实习生，不是靠一份重新设计每个部门工作流的「大计划」，而是让人数和自发摸索去推动组织真正学会用AI。
— Dane Knecht安全能力必须开放，坏人反正拿得到
面对「开源模型是否会助长网络攻击」的争论，Dane的立场很明确：长期看安全能力必须开放，因为坏人无论如何都会拿到这些能力——真正被排除在外的，只是那些买不起顶级闭源模型、却同样需要防御能力的大多数人。这和他在采访最后给普通网站的建议一致：把自己的基础设施放到Cloudflare这类提供免费安全防护的服务后面，因为重大漏洞补丁（比如去年那次React漏洞）Cloudflare免费公开提供给所有人，而不只是付费客户。
— Dane Knecht原话 · 已逐字校验
I think there's a stat that was put up earlier today that during one of our keynotes, where it was showing that I think over 50% of engineering time is going to be spent on security.
我记得今天早些时候某场主题演讲上放过一个数据，显示超过50%的工程时间将会花在安全上。
Dane Knecht3:04
high school kids even that are going to call them agent kitties now
甚至是高中生——现在大家要叫他们「agent kitties」了
Dane Knecht5:13
This is the first time in 15 years I've heard serious technical people say things like, well, we should just like air gap everything important.
这是15年来我第一次听到严肃的技术人说出「我们应该把重要的东西都物理隔离起来」这种话。
Dane Knecht6:23
I kind of go back to first principles of there is you want to reduce your attack surface area. The easiest thing you can do is to give less places for there to be vulnerabilities.
我会回到第一性原理：你需要减少你的攻击面。最简单的办法就是让漏洞少一些可以藏身的地方。
Dane Knecht9:40
we're in the messy middle right now where humans and agents are riding the same rails on the internet
我们现在正处于一个混乱的中间地带，人类和agent正在互联网上使用同一套轨道。
Dane Knecht12:45
AI has become the tool that's causing this kind of security apocalypse
AI已经变成了引发这场安全末日的工具
Dane Knecht37:32
I think over time, it all has to be open because everyone's going to get access to it anyways. you know, that's how open source tends to work.
我认为长期看这一切都必须是开放的，因为不管怎样大家最终都会拿到它——这就是开源一向的运作方式。
Dane Knecht38:32
数字与实体
| 预计用于安全的工程时间占比 | 50%以上（未来18个月内） | 3:04 |
| Greg Brockman对2027年的预测（经主持人转述） | 用于安全的token支出将与工程支出相当 | 7:28 |
| 待修补的软件积压年限 | 70年 | 8:35 |
| Cloudflare红队数量规划 | 目前1个，计划明年年底前增至4-5个 | 35:26 |
术语
- CVE通用漏洞披露编号
- 行业标准的软件安全漏洞编号登记系统。
- WebPKI网络公钥基础设施
- 为全网TLS连接提供信任链的证书体系。
- Zero Trust零信任架构
- 不默认信任网络内部设备，每次访问都要验证的安全模型。
- AEO智能体引擎优化
- 让AI agent（而非人类）能发现和读懂网站内容的新型优化。
- X402基于HTTP 402的支付协议
- 复用HTTP「402」状态码设计的互联网原生支付标准，用于agent间微支付。
- CPM/CTM千次展示成本
- 广告定价单位，衡量网站每千次访问能拿到多少广告收入。
收听指南
关注AI安全风险、互联网基础设施或企业安全预算分配的创业者、工程师和投资人。
20:07起Cloudflare OS内部产品细节，对非Cloudflare员工参考价值较低，可跳。