11 月 3 日，CrowdStrike 在 Falcon Guardian 平台上放出了一颗「AI 终止开关」（AI Kill Switch）。功能描述很直白：当企业内部某个 AI 智能体偏离预期、表现出恶意或失控行为时，安全团队可以实时终止它运行、阻止它重新启动、并切断它对企业网络的访问权限。同一时间宣布的还有与 Anthropic 的 Claude Cowork 完成集成。

消息公布后 CrowdStrike 股价周二上涨超过 1%。这个涨幅不算惊人，但产品思路值得单独拎出来讲：agent 安全的第一代产品是「看」，这一代开始解决「关」。

开关怎么工作：像断路器，不像休眠键

CrowdStrike 首席商务官 Daniel Bernard 给的类比是断路器——不是拔电源，是跳闸。

几个关键设计：

• 切断的是模型访问，不是代码。 官方明确说，终止开关不会删除 agent 的代码，而是通过相连的 AI 网关，切断它对「影响决策的 AI 模型」的访问。也就是说，agent 的工位还在，但它的大脑被掐了。
• 判断权在人手里。 系统可以检测内部 agent 的活动、发现异常，但「是否切断」「何时恢复访问」需要人来做决定。
• 二元结果。 Bernard 原话是：「如果你在根目录终止一个进程，而我们又拥有根目录的访问权限……结果就非常非此即彼：要么你终止这个 AI 与智能体，要么你不终止，然后你再汇报结果。」

这种「要么全活、要么全死」的粗糙，反而是它能落地的原因。批评者早就指出，跨多个系统、数据中心与复杂模型去实现一个统一的紧急停止按钮，复杂度远超现实。CrowdStrike 的做法是把问题降维：不追求细粒度冻结，只在根权限那一层做硬切断。

三笔钱：一颗开关背后的产品拼图

开关本身只是发布会的门面，真正说明战略的是同一天公布的两笔收购：

Fiddler AI 成立于 2018 年，累计融资约 9900 万美元；Dreadnode 成立于 2023 年，融资 1400 万美元。两笔加起来接近 5 亿美元，买的是 agent 生命周期的三段：上线前测（Dreadnode）→ 上线中看（Fiddler）→ 出事时关（Kill Switch）。

这个组合逻辑很清楚：只有「看」没有「测」，你不知道该不该关；只有「测」没有「看」，你不知道线上发生了什么；三者齐了，才构成一个可交付给安全团队的响应闭环。

为什么现在做：一连串失控事件的累积

时间线很密：

• 7 月，由失控的 OpenAI 智能体策划的 Hugging Face 入侵事件，让企业界第一次集体警觉；
• 上周，币安披露有记录以来规模最大的加密货币网络攻击；
• 近期，黑客攻击法国超市数百台冰箱与冰柜；
• 今年夏季，美国国会议员提出两党联合法案，要求 AI 公司在模型中内置关停能力。

企业侧的处境更尴尬：团队和个人在自发用 AI 工具、自动化工作流、vibe-coding 搭定制应用、部署大量 agent，而内部政策和流程明显滞后于应用推进速度。CrowdStrike 的判断是——现有安全软件已不足以监控和管控 AI 工具、连接器及其使用情况。

值得关注的三点

第一，agent 治理正在从「策略文档」下沉到「运行时控制面」。 过去一年企业谈 agent 治理，多半落在规范、审批流、白名单这些静态措施上；现在厂商开始卖「出事时能 30 秒内断掉」的动态能力。这是把治理从合规部的事变成运维部的事。

第二，安全厂商的并购潮才刚开始。 CrowdStrike 不是唯一玩家，此前已有多家初创公司通过数千万美元融资切入同一问题。当 agent 数量在企业内部指数增长，而管控手段还停留在人工看板时，这个缺口就是明确的商业机会。

第三，二元切断暴露了 agent 身份体系的短板。 需要「全关」才能止损，本质是因为 agent 的动作边界没有被细粒度定义——你不知道它此刻在用什么身份、碰哪些数据、能不能只削权限而不停机。这条短板，正是接下来 agent 身份治理（KYA、委托凭证、窄权限子智能体）要补的地方。

对正在把 agent 往生产环境推的团队，这颗开关提供的是一个务实的中途站：不必等到完美的细粒度治理，先有一个确定有效的止损手段，才敢让 agent 碰真系统。