Patrick 与 Ed 的对谈以"漏洞末日"（Vompocalypse / Bugpocalypse）开场。AI 正在让漏洞发现变得自动化——攻击者不再需要手工审计代码，AI 可以在极短时间内扫描海量代码库，发现此前可能需要数年才能找到的脆弱点。
Ed 的视角非常直接：这意味着攻击者获得初始立足点（initial foothold）的门槛将大幅降低。传统上，攻击者要么自己找漏洞（高成本），要么等待漏洞披露和补丁之间的时间窗口（有限机会）。现在，这两个障碍都在被 AI 消融。
"the vulnerability apocalypse will make actually detection and response even more relevant" — Edward Wu
面对这个现实，Patrick 提出了一个两难：我们是该加强预防性控制（preventative controls），还是强化检测与响应？最终共识是——两者都需要更多。但在当前行业过度依赖 D&R 的氛围下，可能需要把钟摆往预防性控制的方向推一推。同时，D&R 的压力不会减轻，只会更大。
Ed 提出了一个有力的比喻：当攻击者更容易突破外围防御时，检测与响应就变成了"企业免疫系统"——它不再是"最后的防线"，而是前线。
"in my mind, the detection and response, or the enterprise immune system becomes the frontier of the defense" — Edward Wu
这个比喻的含义是深刻的：如果预防注定会失败（或至少不可靠），那么组织安全的核心能力就必须从"阻止进入"转向"在进入后快速发现并清除威胁"。这不是说放弃预防，而是说必须以攻击者已在内部为前提来设计 D&R 能力。
Ed 进一步指出，这要求 Assume Breach 心态的升级。过去"假定已失陷"更多是一种风险管理思维，而现在——在面对更多漏洞、更多利用手段的现实下——它更接近于一种必然性。
Dropzone 最初是一个单一 Agent——一个 AI SOC 分析师，专注于自主调查安全告警（alert triage）。这是一个非常好的 AI 应用场景：Tier 1 SOC 分析师的重复性工作让 AI 来做，释放人力做更有价值的事。
但在 2026 年 RSA 大会前，Dropzone 宣布了一个更大的愿景：
"right before RSA this year, we announced a much broader agentic SOC vision which actually incorporates seven different AI agents. Each of them automating different parts of the detection and response function and then have those agents also collaborating with each other" — Edward Wu
这七个 Agent 分别负责：告警调查、威胁狩猎、检测工程、威胁情报、事件范围确定、自动化编排、以及 Agent 间的协作。Ed 将检测与响应描述为"由许多不同的手动工作块组成的领域"（作者概括），每个工作块都可以由专门的 Agent 来增强。
Ed 认为软件工程在 AI 采纳上领先 SOC 约 2-3 年——理解 AI Coding 的演进轨迹，就能预见 SOC 的未来。这个类比贯穿了整个对话，是这期最有洞察力的框架之一。
"Most of the AI coding tools start off by solving a single problem, which is how do you generate more code" — Edward Wu
AI Coding 的演进可以分为三个阶段：
第一阶段：代码生成——工具专注于"写更多代码"。对应 SOC 的 Alert Triage Agent。
第二阶段：瓶颈转移——当 AI 可以生成大量代码后，Review 变成了瓶颈。Ed 特别提到："I think Claude just maybe today or yesterday announced their code review solution exactly to solve this problem"。对应 SOC 的 Threat Hunting + Detection Engineering Agent。
第三阶段：全流程 Agentic——"who's writing all the tests? Who is actually scoping out the ticket in the first place?"——需要 AI PM、AI UX designer 等。对应完整的 7-Agent SOC。
这个类比的力量在于：它让我们看到 SOC 的 AI 化不是偶然的、孤立的——它遵循着和 AI Coding 完全相同的扩展逻辑。
"we really need detection and response ultimately to be operating at both machine scale and machine speed. And that makes doing a lot more, but also drastically reducing the latency" — Edward Wu
Ed 用"Machine Scale"和"Machine Speed"这两个维度来定义 D&R 的未来。Machine Scale 意味着：更多的检测规则、更多的威胁狩猎、更多的威胁情报、更多的告警调查——当每个维度都乘以 10 倍，人工 SOC 模型就彻底失效了。Machine Speed 则意味着将响应时间从"小时"压缩到"分钟甚至秒"——因为很多威胁的窗口期只有几分钟，人工响应太慢就等于没有响应。
Ed 将 SOC 工作流分为告警的左侧（产生前）和右侧（触发后）。左侧包括威胁狩猎、检测工程、威胁情报——在告警产生之前就主动作为。右侧包括告警调查、事件范围确定、响应协调——在告警触发后快速行动。
这是一个有用的框架：目前的 AI SOC 工具大多集中在右侧（告警分类），但左侧的工作同样可以 Agentic。事实上，正是在左侧的自动化（如自动检测工程、自主威胁狩猎）中，Agent 之间的协作产生了最大的杠杆效应。
Patrick 发现很多 SOC 团队已经在用已有的 token budget 来 vibe-code 自己的自动化工具。用他的比喻来说，这就是"往罐子里塞石头"——确实能解决一些痛点。但他也指出了局限："that approach is limiting"——你确实可以快速拼出一个基础脚本，但商业工具投入的开发时间是不可比拟的。
Ed 的观点更加尖锐。他承认"kind of vibe coding or DIY is, we definitely have seen a lot of that"，但指出了两个根本问题：
第一，经济规模（economy of scale）。一个专业安全公司在其领域投入的研发资源——所有工程师都在用 AI 工具——远大于一个 SOC 团队可以分配的。
第二，持续维护——这才是真正的杀手。
"the continuous maintenance and testing of that thing actually ends up being a whole lot more expensive than the resources that you need to vibe code it in the first place" — Edward Wu
Ed 补充道，现代 AI 创业公司在质量保证、测试、验证和评估上投入的资源，往往远超构建 prompt 和 agent 本身的投入。而这是大多数团队在 vibe-code 时严重低估的部分。更不用说关键人物风险——"the cutting edge security engineer who vibe coded it decided to work somewhere else"——然后整个工具就成了无人维护的技术债。
Patrick 在这点上很有信念——他甚至说自己在"SaaS 末日"中大量买入 SaaS 股票，因为他认为"software vendors are going to be replaced by vibe coding"的论调经不起考验。
"one person using a coding agent is not equivalent to a software development company that's very specialized, with all of their developers using coding agents and working towards a common goal" — Patrick Gray
Ed 补充了一个关键观察：商业软件公司本身也在承受巨大的压力去采用 AI Coding 工具——"modern software development companies are under tremendous pressure to use AI coding agents as well"。也就是说，双方都在用 AI 加速，相对差距并没有缩小。
Ed 透露，Dropzone 已经遇到了"Boomerang"客户——这些组织先在内部 DIY 了 SOC 自动化，建立了对技术可行性的信心，但随后被维护负担压垮，最终选择了商业方案。Patrick 用了一个生动的比喻：Sally vibe-coded 了一个 AI SOC agent，然后被 Anthropic 或 Palo Alto 挖走了——公司只能找 Dropzone。
这是 Ed 分享的一个非常具体的技术洞察。在 Dropzone 的端到端告警调查中：
"a typical autonomous end-to-end alerting investigations at Dropzone, we are making over a hundred distinct large language model invocations" — Edward Wu
每 100+ 次 LLM 调用中，大约只有 20% 需要使用 premium model。其余 80% 可以用 commodity model 胜任。Ed 用了一个精妙的类比："initially when you build a plane, you build everything out of titanium or carbon fiber... and then over time you start to look at different pieces and be like, do we really need this trim piece to be in carbon fiber?"
Premium model 被保留在两个最关键的环节：Planning（调查方向规划——如果方向错了，整个调查就白费了）和 Conclusion Determination（综合多条可能相互矛盾的发现，做出最终判断）。而 JSON 解析、SIEM 查询、威胁情报匹配等任务，用较便宜的模型就足够了。
Ed 还指出了一个额外的维度：成本不是唯一的考量——延迟同样重要。
"the expensive models are very slow, so if you only use the expensive models end to end, the whole investigation might end up taking like 20 minutes, and that's just unnecessarily long" — Edward Wu
Patrick 预测安全运营会收敛到一个"大存储池 + Agent 在上面爬行"的模式。Ed 的看法更加 nuanced。他认为数据层（security data layer）的未来仍有不确定性——行业还没有达成共识。
一方面，联邦搜索（Federated Search）的理念很吸引人：Agent 可以直接通过 API 去各个工具（CrowdStrike、Okta、AWS）查询数据，不需要把所有数据集中到一个湖里。但另一方面，不同工具的数据保留策略不同，"it's still nice at least for human practitioners to pull in subsets of these huge data sets into one place to work on them"。
Ed 的判断是：数据层怎么建还没有共识——有人会倾向于建 S3 大湖 + SIEM，有人会走向联邦搜索的极致。但分析层/智能层的未来是清晰的：大量的 Agent 协作、自动解析日志、从不同角度分析数据、Agent 之间彼此触发行动。
Ed 分享了一个 Dropzone 正在实验的激动人心的场景：
"how do you have two different agents, such as an AI threat intelligence agent and an AI threat hunter agent, kind of working together so you can achieve twenty-four-seven autonomous emerging threat response" — Edward Wu
作者概括：这个闭环的逻辑是——安全研究者在 Twitter 上发布一个新威胁 → Threat Intelligence Agent 捕获并分析 → Threat Hunting Agent 在组织环境中搜索相关 IoC → 5 小时内完成一次完整的威胁狩猎。这不是科幻，Ed 确认团队已经在实验这个流程。
真正让人兴奋的不是单个 Agent 的能力（告警分类、威胁情报收集都已可行），而是Agent 之间的协作循环：TI Agent 发现威胁 → 通知 Hunting Agent → Hunting Agent 完成狩猎 → 结果更新到 Detection Engineering Agent → 自动生成新检测规则。这可以实现"autonomously improve the overall security posture of the environment"。
在对话的最后，Patrick 问了一个直击人心的问题：当所有都被自动化了，人还做什么？Ed 的预测既不是"人会被完全取代"的焦虑叙事，也不是"一切照旧"的安慰——而是角色的两级分化：
Field General（战场指挥官）：大多数安全工程师和分析师将变成""a director or senior manager, essentially like a field general kind of a role"。他们的核心工作是：定义 Agent 的战略优先级（"Agent 不是无限的，你要决定它们聚焦什么"）、为 Agent 创建成功的工作环境（明确任务边界）、做架构审查和技术选型。
Special Forces（特种部队）：处理 Agent 无法胜任的最棘手任务。例如，"the CEO clicked on something apparently that he's not supposed to. Are we really going to trust an AI agent to really untangle that mess?"——CEO 点了不该点的东西，这种级别的混乱，你不会放心交给 AI。
Ed 还详细列举了 Agent 做不了的事：建立关系（说服其他团队为应用增加 instrumentation）、评估供应商（判断工程团队的能力和性格）、跨部门协商（和财务团队、网络团队协调部署）、扩展可见性（"Agents are not going to magically just allow you to see everything in the environment"）。
作者概括：Ed 对"每个人都变成经理"这个想法并不感到不安——他认为这已经在软件工程中开始发生了。他举例说，随便问一个 Anthropic 的软件工程师"你上个月写了几行实际代码？"，答案很可能是零——但他们在"directing"、在"debating with AI agents or brainstorming"、在"reviewing architecturally the work of AI"。SOC 的转型将遵循同样的路径。