「你的防御需要一个对手」：CodeWall 拿下 400 万美元，要给每家企业配一个 AI 黑客

一家伦敦初创，宣布要给每家企业"配一个黑客"

10 月 14 日，伦敦进攻性安全初创 CodeWall 结束隐身模式，经 GlobeNewswire 发布官方公告：完成 400 万美元 pre-seed 融资，由 Osney Capital 领投，InReach Ventures、Antler 和多位天使投资人参投。

它的官网首页只有一句话："Your defenses need an adversary."（你的防御需要一个对手。）下面还有一条横幅："We've raised $4M. To give every enterprise an attacker of its own."（我们融了 400 万美元，为了给每家企业配一个属于自己的攻击者。）

这家公司卖的东西，叫 "offensive layer"（进攻层）：多个 AI agent 像真正的外部黑客一样，从零凭证、零源码、零特权出发，协同攻击一家企业，在客户授权的范围内，持续验证哪些攻击路径是真实可走的。

它的目标很直白：替代企业一年才做一两次的渗透测试。创始人兼 CEO Paul Price 说："企业不该等到真被黑了，才知道自己的防线行不行。"他把这套持续的测试称为一种"永久能力"（permanent capability），而不是定期评估。

工作模式：多 agent 分工 + 共享调查图谱

CodeWall 的技术架构，对熟悉多 agent 系统的读者来说并不陌生，但用在了攻击侧：

每次"开工"，几个专职 agent 同时上阵，各干各的活——侦察的负责找暴露面，入侵的负责拿下入口，横向移动的负责提权和跳板。关键设计在于中间那层：一个 agent 的所有发现都会进入共享的"调查图谱"（investigation graph），成为另一个 agent 继续深入的路线。一个应用里的弱点，可以变成通往关联系统、身份和数据的起点。

客户看到的不是一堆漏洞列表，而是一条完整、可复现的攻击路径：攻击者从哪进来、怎么走的、拿到了什么，每一步都附证据。更重要的是节奏：新系统上线、应用变更、漏洞修复之后，agent 会自动回来重新验证——严格限定在客户授权的范围内。

这个"授权范围"的限定词，在官方公告里出现了不止一次。它是整个商业模式的命脉，后面会细说。

为什么是现在：攻击方已经先用上了 AI

CodeWall 的论证逻辑很简单：AI 让完整攻击链的自动化成为可能，而先用上它的，是攻击者。

SiliconANGLE 在报道中提到，今年夏天，云安全公司 Sysdig 记录了据称首个从头到尾由自主 AI agent 执行的勒索软件行动。攻击的自动化已经不是"未来"，是"今年夏天"。

Osney Capital 合伙人 Paul Wilkes 在公告里说："多年来，优势一直在攻击者一边。他们可以不停地试探、调整、寻找另一条路，而企业防守的是一座永远在变化的大楼。我们在 CodeWall 身上看到的机会，是把这个局面翻过来——给每家企业配一个属于自己的攻击者。"他认为，未来"雇一个攻击者为你工作"，会像"部署防御"一样理所当然。

这笔钱的用途也写得很清楚：让 agent 能覆盖企业环境里更多的角落，补上"验证—修复"的工作流闭环，在伦敦扩招进攻性安全、工程、客户成功和市场团队。

战绩：两小时拿下麦肯锡 AI 平台的生产数据库

融资公告里最抓眼球的部分，是 CodeWall 今年早些时候干的一票"实战演示"：它把自家 agent 对准了三大咨询公司——麦肯锡、波士顿咨询（BCG）、贝恩。

其中最狠的一条：一个没有任何凭证的 agent，在两小时内拿到了麦肯锡 Lilli AI 平台背后生产数据库的读写权限。随后几周发布的研究还发现了 BCG 和贝恩暴露的数据库。

三家公司都在被告知后的几天内修复了问题。麦肯锡方面对 The Register 表示，第三方取证调查未发现客户数据被 CodeWall 或任何未授权方访问的证据——这是负责任披露该有的结尾。

已经有银行客户在用。Axos Financial 的 SVP、CISO Raghu Valipireddy 在公告中说，他们正在把 CodeWall 的自主进攻性安全引入自己的安全项目，"帮我们更频繁地、从攻击者视角测试自己的应用"。

和 XBOW 的区别：赏金猎人 vs 常驻红队

关注本站的读者可能记得，cycle65 我们报道过 XBOW：一个 AI agent 六天攒出 Chrome 的 V8→WebP→Crashpad 完整漏洞链，拿下 Google 25 万美元的首笔新规则赏金。那篇文章的结论是"攻击成本正在坍缩"。

CodeWall 和 XBOW 是同一趋势的两面，但完全是两回事，有必要划清界限：

XBOW 是事件，CodeWall 是产品。XBOW 证明了"AI 能攻"——一个 agent 在公开的漏洞赏金计划里打出完整攻击链，是一次性的、按漏洞付费的猎人行为。CodeWall 则要把"AI 攻"变成可购买的持续服务：不是按漏洞结算，而是替企业常驻的红队订阅。

目标对象不同。XBOW 瞄准的是公开赏金计划（Google 的 Chrome 漏洞奖励）；CodeWall 瞄准的是企业自己的资产，在客户授权范围内持续渗透。前者是"野外狩猎"，后者是"雇来看家护院的狼"。

时间维度不同。XBOW 的故事讲的是"六天"；CodeWall 讲的是"永久"——系统变了就回来复测，修了就回来验证。一个是快照，一个是监控。

如果说 XBOW 证明了攻击成本的坍缩，CodeWall 赌的就是另一半命题：防御测试的成本，也必须跟着坍缩。一年两次的人工渗透测试，在攻击自动化的时代，节奏上已经对不上了。

给独立开发者的三个启示

这条新闻离个人开发者并不远，思路可以直接"降级"使用：

第一，上线前，先让 agent 黑自己一遍。你不需要 CodeWall 的企业版才能理解这个思路：下次 vibe coding 做完一个带登录、带支付、带文件上传的应用，在部署前专门开一个 agent 会话，prompt 写成"假设你是攻击者，零凭证，找出这个应用的可利用路径"。你会惊讶于它找出的东西——未授权访问、IDOR、暴露的调试接口，这些在"写代码模式"下最容易被忽略。

第二，安全测试要从"定期体检"变成"持续监控"。CodeWall 的"系统变更就回来复测"值得抄作业：个人项目可以在 CI 里加一轮 agent 安全审查，每次改动鉴权、接口、依赖之后自动跑一遍。成本已经低到个人开发者能负担，剩下的只是习惯问题。

第三，多 agent 分工比单个"全能 agent"更可靠。CodeWall 的架构（侦察 / 入侵 / 横向移动分开，共享图谱）对写代码同样适用：让一个 agent 专门负责"找茬"，而不是让写代码的 agent 顺手"自查"。攻击者和建设者用同一套脑子，检查质量天然打折——安全领域早就明白这个道理，vibe coding 也该明白。

风险：被讨论得最少的"永久渗透"

把批评留到最后，因为这也是 CodeWall 自己最需要回答的问题。

授权边界是命脉，也是最大的风险点。"永久渗透"意味着有一台机器持续在你系统的外围试探。范围蠕变（scope creep）——agent 的"好奇心"超出授权范围一步——在技术上几乎不可避免，在法律上则可能是灾难。CodeWall 把"在授权范围内"写进公告的每一句介绍里，是清醒的，但执行层面的护栏长什么样，目前没有公开细节。

双用途技术没有无辜的版本。一套能从零凭证打进企业内网的 agent 系统，换个授权书就是攻击工具。工具无罪、用法分层——这个判断我们之前在讨论逆向工具时用过，放在这里同样成立。但"持续、可购买、自动化的进攻能力"扩散开来，本身就是安全格局的变化，买方是谁、卖给谁，会是监管迟早要问的问题。

攻击 agent 自身的安全。一个常年在外执行攻击任务的 agent 系统，自己就是高价值目标：提示注入反杀、图谱投毒、agent 被劫持后反咬客户，这些不是科幻，是做这行必须先回答的考题。CodeWall 目前没有公开这部分的设计。

持续性的敌人是噪音。一年两次的渗透测试，最大的问题是节奏慢；持续测试最大的风险，是产出大量低价值告警，把安全团队淹没到关掉它。CodeWall 强调"验证过的攻击路径 + 证据"，方向是对的——持续测试的生死线不在"找得多"，而在"报得准"。

结语：攻击成本坍缩之后，轮到防御测试

把两条新闻连起来看，2026 年 10 月的安全图景很清晰：XBOW 证明了 AI 攻击者六天能攒出 Chrome 完整漏洞链，Sysdig 记录了 AI 从头到尾执行的勒索软件行动，CodeWall 则拿着 400 万美元说——防守方也该有一个了。

"给每家企业配一个攻击者"，这句话听起来像悖论，但逻辑是自洽的：当攻击变成自动化的、持续的，防御测试也必须是自动化的、持续的。一年两次的人工渗透测试，测的不是真实世界的攻击节奏，测的是预算节奏。

400 万美元的 pre-seed 买的是一个赌注：未来"雇一个攻击者为你工作"，会像"部署防御"一样理所当然。这个赌注能不能成，取决于 CodeWall 能不能回答好上面那四个风险问题。但方向本身——让 AI agent 从"写代码"走向"攻击代码"，再走向"替你攻击你自己的代码"——已经是进行时了。

对 vibe coder 来说，最直接的行动项只有一条：下次部署前，先让 agent 黑自己一遍。免费的，立刻能做。