主播：Bruce ZHANG
第一部分 / 聊聊漏洞是一种债务
补丁浪潮
5 月1 日，英国国家网络安全中心NCSC UK发了一份通知，说得很直白：“各组织必须立刻行动起来，为接下来这波‘补丁潮’做好准备。” 这个新闻真正有意思的，不是“漏洞越来越多”，而是第一次很明确地把网络安全问题，定义成一种“技术债务（technical debt）”。本质上，是在用金融逻辑理解软件问题。
https://www.ncsc.gov.uk/blogs/prepare-for-vulnerability-patch-wave
量变质变
而真正引爆这轮焦虑的，显然还是Claude Mythos 的发布。虽然现在外界讨论得很热、信息也很杂，但在这些表象下面，市场真正感受到的压力，其实是一种：“这次可能是质变了，而不只是量变。”真的如此吗？
祛魅
4 月22 日，《The Register》的一篇报道核心是在给Anthropic 和Claude Mythos “降温”，甚至直接用“nothingburger” 来形容——意思是宣传很多，但实际没什么实质内容，雷声大雨点小。
https://www.theregister.com/2026/04/22/anthropic_mythos_hype_nothingburger/
https://www.bloomberg.com/news/articles/2026-04-21/anthropic-s-mythos-model-is-being-accessed-by-unauthorized-users
MITRE ATT&CK v19版发布
MITRE 在博客里的表述大概是这样的：“我们持续关注ATT&CK 需要扩展的领域，尤其是围绕人工智能和社会工程学的对抗性用途。在这两种情况下，核心问题是一致的：这种行为是否产生了本质上不同的检测、防御响应或分析需求，还是只是已有覆盖内容的变体？”
他们的结论是，对于AI 赋能的技术，关键区别在于行为本身，而不是工具。AI 确实让这些事情更快、更便宜、更容易规模化，但（目前来看）并没有从根本上改变攻击者在做的事情。所以ATT&CK 仍然是以“行为”为核心来建模。换句话说，只要行为没有变，即使工具从脚本变成AI agent，框架本身依然适用。
https://attack.mitre.org/resources/updates/updates-april-2026/
https://medium.com/mitre-attack/attack-v19-ff329cb65d66
顺带我研究了下MITRE 到底应该怎么读。根据AI 的提示，我就把它读为/ˈmaɪtər/了。如果错了，欢迎大家来纠正我。目前比较被接受的一种说法是，它可能来源于法语“，意思是“连接两个结构的方式”。某种意义上，这个名字还挺贴切——做的事情本身就是在不同系统、标准和能力之间做“连接”和“对齐”。
https://www.mitre.org/news-insights/media-coverage/technology-review-mits-first-divorce
https://www.technologyreview.com/2023/06/27/1073782/mits-first-divorce/
但理论上hold 的住，不代表股价可以hold 的住。
而Mythos 这件事，如果它并不是一场真正的“质变”，那另一种更现实的解读，就是市场上很多人已经在质疑的方向——偏向“造势”。尤其是放在Anthropic 当前的资本节奏里，这种疑问会被进一步放大。
https://x.com/Futurenvesting/status/2050259511068201403?s=20
而从现实来看，缓解焦虑的方式，往往并不是继续把Mythos 这种工具“神话化”，反而是把它“去神秘化”或者说“庸俗化”——把他看做一个工程工具，而不是某种能力跃迁的象征。
我很期待有天能看到中国某个模型，也来上这么一出。
https://techcrunch.com/2026/04/30/after-dissing-anthropic-for-limiting-mythos-openai-restricts-access-to-cyber-too/
第二部分｜AI 吃掉一切，在资本市场上的体现
Palo Alto 的股价这几天遭到了一点小小的冲击。对此PA 的CEO Nikesh Arora 发了个LinkedIn 的帖子吐槽，认为市场有点paranoid。
https://www.linkedin.com/posts/nikesh-arora-02894670_i-would-have-expected-the-market-to-start-share-7453175797781151744-yX2w/
也不只是二级市场
一级市场也在变。Hustle Fund 的联合创始人兼GP Elizabeth Yin 发了个文章说，现在资本市场的估值模式，可能不可持续。
https://elizabethyin.com/2026/04/24/the-wide-path-why-most-current-valuation-dynamics-are-not-here-to-stay-and-what-will/
那投什么样的企业呢？boldstartvc 的Ed Sim的简短回答是：拥有卓越的技术人才，对12-18 个月的产品有明确见解，以及能够持续5-10 年的使命。他认为学习速度至关重要，注意，不是终生学习，是学习速度。
但出手前的模式也变了
Sid Trivedi，Foundation Capital 的合伙人，4 月26 日在X 上发了个帖子说：2026 年的尽调已经疯狂了。我的一些PE朋友，现在在投委会（IC，Investment Committee）前的那个周末，直接用Claude Code 把准备收购的公司“重做一遍”。如果能轻松复刻出来，交易基本就黄了，不投了。这可能是人类历史上成本最低的“护城河测试（moat test）”。不讲武德！
https://x.com/sidtriv/status/2048111204288348637
Dan Nguyen-Huu，Decibel Partners的一位合伙人，发了个帖子说，如今每个软件产品，都拥有一条看不见的界线，叫做代币门槛。
https://www.linkedin.com/pulse/token-threshold-your-buyer-actually-agent-dan-nguyen-huu-magnc/
这不是开玩笑，客户变了，决策逻辑变了，商业关系就变了。很多巨头都做出了非常剧烈的反应。
Salesforce，作为奠定SAAS 传奇的明星企业，就做了个很大胆的变革。在TrailblazerDX 大会上，Salesforce 发布了Headless 360，将Salesforce 的功能以API、MCP 工具和CLI 命令的形式开放，使得智能代理能够直接与Salesforce 的数据、工作流和业务逻辑交互，而无需局限于传统的浏览器界面。无头，没有浏览器，不是面向人类服务。
https://saanyaojha.substack.com/p/salesforce-loses-its-head
https://www.salesforce.com/news/stories/salesforce-headless-360-announcement/
那，VC还投安全吗？
根据Return On Security 的数据统计，2026 年初迄今，相较于2025，事实上海外安全行业的融资也是大幅下滑了。
并购的角度，交易笔数倒是下降不多，甚至略有提升。但很多也是金额未披露，这不太符合国际惯例，让人怀疑也是另一种密不发丧的退出的现实。
https://www.returnonsecurity.com/p/security-funded-241
根据我们跟踪的中国数据，去年整体中国网络安全行业融资有30 笔，而今年1 季度就有12 笔，当然根2021 年单季度就接近60 笔，全年近200 笔，已经是物是人非了。
第三部分｜从数据看背后的第三方动态
根据Omdia 最新预测，2026 年全球网络安全支出将达到3110 亿美元，同比增长12%。
Blackhat 的营收就达到了105M 美金，有点意外。我找不到RSAC 的数据来直接对比。
https://www.linkedin.com/feed/update/urn:li:activity:7439581504290279424/
最后
给大家推荐一本书，就是Palantir CEO Alex Karp 写的《技术共和国The Technological Republic》。这本书在开篇第一章讲的就是，今天的硅谷，已经迷失了。
有评论家批评该书"根本不是著作，而是企业营销材料"。我倒觉得从营销材料的角度而言，写的比很多企业出版的书都要好。观点可以不认同，但非常值得一读，代表了右翼观点的一个很高级的表达。
https://techcrunch.com/2026/04/19/palantir-posts-mini-manifesto-denouncing-regressive-and-harmful-cultures/
https://x.com/PalantirTech/status/2045574398573453312
(如果希望加入听友群，更多交流互动，欢迎联系主播们）
