原文：Patch or Die
作者：Joel de la Garza
来源：SandHill.io #307 推荐阅读 · 运营指南 ｜ RecodeX 编译
导读： 这是 a16z 基础设施团队（Joel de la Garza、Zane 等人）发给被投企业的一封内部安全通告，后来公开发布。核心判断是：漏洞被发现和被利用的速度已前所未有，而 AI Agent 的大规模部署又让每个 Agent 都成了潜在的“内鬼”。为此，作者建议公司管理层采取几项颇为激进的措施，篇幅虽短，但立场鲜明。
形势已变：每个 AI Agent 都是内部威胁
作者认为，刚过去的一周已清楚表明局势变了：新漏洞如洪水般涌现，同时 AI Agent 正被大规模采用，风险成倍放大。Agent 不仅能帮攻击者把整个攻击链条自动化，而且其本身就处在企业内部——而多数企业的防御体系是为抵御外部攻击设计的，并不防“自己人”。
五项“激进”建议
- 大幅增加安全投入。 一般企业约把 10% 的技术支出花在安全上，作者建议考虑翻倍。环境中可能有成千上万个待修漏洞，“靠隐蔽求安全”已经失效——凡是能被利用的，终将被利用。
- 对新功能和新版本实行“零容忍”。 重新审视发布排期，必要时推迟上线，确保漏洞全部修补后再部署新功能、新产品。
- 把“僵尸”环境彻底清掉。 找出所有被遗忘的旧环境——实验室、测试环境、停摆的 CI/CD 项目等——先全部关停。与收入无关的，一律下线。
- 终结“风险接受”流程。 过去十年，这一流程已从“为业务发展而接受风险”的工具，异化为“永远不修安全问题”的借口。作者主张对安全问题和风险一律零容忍。
- 今后扩充 Agent，而不是扩充人手。 威胁以机器速度推进，防守也必须如此。应推动安全团队尽可能将检测与响应自动化；安全团队天生规避风险，部分团队采用新技术较慢，需要管理层推动其转变。
结语
作者强调以上为一般性建议，a16z 团队也可为被投企业的安全团队提供后续技术咨询。用原文的一句话概括其基调：“凡是能被利用的，终将被利用。”
本文由 RecodeX 编译自 Patch or Die（作者：Joel de la Garza），首发于 SandHill.io #307 推荐阅读。本文为中文编译稿，非全文翻译，完整内容请阅读原文。译文仅供学习交流，观点不代表本站立场，版权归原作者所有。