CDN巨頭CTO預言：未來18個月一半工程時間要用來補漏洞
漏洞披露速度從一年一次變成每週多次，連TLS信任根密鑰都曾被人用種子數字4破解——CTO說未來18個月，一半工程資源要砸向安全。
原視頻在 YouTube 上放不出來，用音頻聽：
核心論點 · 點時間戳可跳到原聲
log4j級事件從一年一次變每週
過去互聯網上的log4j級別安全事件大約一年發生一次，出現時Cloudflare要全員加班去保護付費客戶和免費客戶。但過去三到六個月，被報告的漏洞數量呈指數級增長，這種log4j級別的事件現在每週都在發生——只是大多數沒被公開報道。Dane預計未來18個月，大多數工程團隊的時間會花在安全上。
— Dane KnechtTLS根密鑰曾被種子數字4破解
一個保護全網TLS連接的WebPKI根密鑰，其隨機種子被發現只是數字「4」——因為密碼學的安全性全靠隨機性（這也是Cloudflare用熔岩燈做隨機數源的原因），弱種子很容易被逆向。Dane提到，就在採訪前一週，OpenAI已經把2000年發布的NIST橢圓曲線種子也破解了出來，說明AI模型在密碼學攻防上的能力正快速逼近前沿。
— Dane Knecht高中生拿agent幹國家級黑客的活
最近幾起較大的漏洞並非國家級黑客所為，而是把AI agent當作新工具的高中生——他們過去玩CTF奪旗賽，現在直接把agent指向一片目標區域去找漏洞，還有真金白銀的漏洞賞金在驅動。Dane的判斷是：agent把過去只有國家級對手才有的攻擊能力下放給了普通人，這也是過去15年第一次有資深技術人士開始說「把重要系統物理隔離」這種話。
— Dane Knecht減攻擊面說起來容易，AI模型幫倒忙
Dane說應對安全問題要回到第一性原理：減少攻擊面，用更少的代碼給漏洞更少的藏身之地。但他也承認，現階段的AI模型反而是問題的一部分——AI很「話癆」，寫代碼偏向冗長和複雜，並不天然幫你做減法。真正把代碼砍到十分之一複雜度、判斷「這樣設計才站得住」仍然要靠人的判斷，需要工程師培訓、安全團隊複核、流程約束一起上，不是靠模型升級就能單獨解決。
— Dane Knechtagent逛一千個網頁，卻沒人付錢
Dane把現在的互聯網形容成「混亂的中間地帶」：人類和AI agent走在同一套為人類設計的網頁軌道上，agent一分鐘能逛一千個網頁，卻沒有匹配的經濟模型。他設想的解法是，網站本就知道自己的CPM（千次展示廣告收入），agent讀內容時可以自己判斷要不要為這次閱讀付費，但這需要能支撐每秒百萬級微支付的新支付軌道——他認為這還要「兩年」才能成形，不過agent會把這件事往前推。
— Dane Knecht三個團隊的流程被一個工具取代
今年五月Cloudflare做了一次痛苦的重組，第一次主動裁員。Dane把公司比作要重新設計的工廠流水線：以前一個產品經理想給客戶群發一封郵件，要經過BI團隊拉名單、市場團隊調語氣、市場運營團隊發送，涉及三個團隊。重組後變成一個工具：產品經理自己描述目標客群、寫郵件，系統按Cloudflare的語氣風格改寫，經理點一下批准就發出去——不是三個團隊各自提速，而是用一個工具取代了整條流程。
— Dane Knecht5000人公司今年招了1000名實習生
兩年前Cloudflare招了約200名實習生，Dane發現這批人是真正「AI原生」的一代——拿走AI他們可能都不會幹活了，而帶過這批實習生的經理，之後採用AI工具的速度明顯更快。於是今年，這家約5000人的公司一口氣招了1000名實習生，不是靠一份重新設計每個部門工作流的「大計劃」，而是讓人數和自發摸索去推動組織真正學會用AI。
— Dane Knecht安全能力必須開放，壞人反正拿得到
面對「開源模型是否會助長網絡攻擊」的爭論，Dane的立場很明確：長期看安全能力必須開放，因為壞人無論如何都會拿到這些能力——真正被排除在外的，只是那些買不起頂級閉源模型、卻同樣需要防禦能力的大多數人。這和他在採訪最後給普通網站的建議一致：把自己的基礎設施放到Cloudflare這類提供免費安全防護的服務後面，因為重大漏洞補丁（比如去年那次React漏洞）Cloudflare免費公開提供給所有人，而不只是付費客戶。
— Dane Knecht原話 · 已逐字校驗
I think there's a stat that was put up earlier today that during one of our keynotes, where it was showing that I think over 50% of engineering time is going to be spent on security.
我記得今天早些時候某場主題演講上放過一個數據，顯示超過50%的工程時間將會花在安全上。
Dane Knecht3:04
high school kids even that are going to call them agent kitties now
甚至是高中生——現在大家要叫他們「agent kitties」了
Dane Knecht5:13
This is the first time in 15 years I've heard serious technical people say things like, well, we should just like air gap everything important.
這是15年來我第一次聽到嚴肅的技術人說出「我們應該把重要的東西都物理隔離起來」這種話。
Dane Knecht6:23
I kind of go back to first principles of there is you want to reduce your attack surface area. The easiest thing you can do is to give less places for there to be vulnerabilities.
我會回到第一性原理：你需要減少你的攻擊面。最簡單的辦法就是讓漏洞少一些可以藏身的地方。
Dane Knecht9:40
we're in the messy middle right now where humans and agents are riding the same rails on the internet
我們現在正處於一個混亂的中間地帶，人類和agent正在互聯網上使用同一套軌道。
Dane Knecht12:45
AI has become the tool that's causing this kind of security apocalypse
AI已經變成了引發這場安全末日的工具
Dane Knecht37:32
I think over time, it all has to be open because everyone's going to get access to it anyways. you know, that's how open source tends to work.
我認為長期看這一切都必須是開放的，因為不管怎樣大家最終都會拿到它——這就是開源一向的運作方式。
Dane Knecht38:32
數字與實體
| 預計用於安全的工程時間佔比 | 50%以上（未來18個月內） | 3:04 |
| Greg Brockman對2027年的預測（經主持人轉述） | 用於安全的token支出將與工程支出相當 | 7:28 |
| 待修補的軟件積壓年限 | 70年 | 8:35 |
| Cloudflare紅隊數量規劃 | 目前1個，計劃明年年底前增至4-5個 | 35:26 |
術語
- CVE通用漏洞披露編號
- 行業標準的軟件安全漏洞編號登記系統。
- WebPKI網絡公鑰基礎設施
- 為全網TLS連接提供信任鏈的證書體系。
- Zero Trust零信任架構
- 不默認信任網絡內部設備，每次訪問都要驗證的安全模型。
- AEO智能體引擎優化
- 讓AI agent（而非人類）能發現和讀懂網站內容的新型優化。
- X402基於HTTP 402的支付協議
- 複用HTTP「402」狀態碼設計的互聯網原生支付標準，用於agent間微支付。
- CPM/CTM千次展示成本
- 廣告定價單位，衡量網站每千次訪問能拿到多少廣告收入。
收聽指南
關注AI安全風險、互聯網基礎設施或企業安全預算分配的創業者、工程師和投資人。
20:07起Cloudflare OS內部產品細節，對非Cloudflare員工參考價值較低，可跳。