AI 时代的防火墙：为何网络仍决定一切

思科在博文中指出，AI 智能体正在改变企业网络的行动主体。一个“修复失败构建”的简单指令，可能触发智能体访问代码仓库、调用模型、发现 MCP Server、下载依赖、修改代码并启动测试，一次人类请求由此变成数百次机器发起的交互。对网络而言这是多条独立连接，对用户是一个任务，对安全则是一串在委托授权下执行的动作，风险单元正从会话扩展到任务。 思科认为，传统防火墙询问的“谁在通信、访问哪个应用、去往何处、是否放行”仍然必要，但已不足以覆盖合法智能体执行越权操作的情形。身份和 token 都可能有效、目标也可能被批准，智能体仍可能越界，或被恶意内容、被攻陷的工具、过于宽松的指令引导。读取仓库与改写仓库、查询生产数据库与导出其内容，在 Layer 3 和 Layer 4 上可能看起来一样，后果却完全不同。政策问题因此要从“这个主体能否连接”转向“这个主体是否在其角色与委托授权范围内行动”，而这需要跨身份、应用、终端和网络拼装上下文。 AI 流量的方向正在向内。出于成本、时延、隐私、知识产权、数据主权和监管考虑，企业把私有模型、更小的语言模型和推理服务部署到更靠近应用与数据的位置，架构演变为用户、智能体、内部模型、MCP Server、应用与数据的链条。思科强调，企业 AI 增多不一定意味着更多流量流出企业，而可能意味着企业内部流量大幅增加，信任边界在企业内部成倍增加，这正是 Hybrid Mesh Firewall 在物理、虚拟、云和网络环境中分布式执行策略的价值所在。 攻击者同样在使用 AI 加速侦察、寻找并武器化漏洞、制作更有说服力的诱饵，并以快于签名更新的速度变换载荷，从漏洞披露到被利用的窗口从数周缩短到数天、有时是数小时。思科据此强调防火墙“争取时间”的旧职责重新变得关键：虚拟补丁可在修复部署前保护脆弱系统，基于行为和 ML 的检测能捕捉签名未见过的变种，Cisco Secure Firewall 中的 SnortML 覆盖整个漏洞类别而非单个利用方式，防护可在数分钟内推送到所有执行点。 在可见性上，思科提出网络提供的是通信确实发生的独立证据：智能体自身的日志由被调查的智能体写下，网络记录则不是，当分析师追问“这个智能体实际碰了什么”时，防火墙遥测能给出独立答案。为此防火墙需要具备智能体感知、风险感知和分布式能力，理解非人类身份、智能体、模型、工具与委托授权，并对 MCP、A2A 和模型 API 等新兴协议保持可见，同时把单次交互串成序列判断——孤立的仓库读取可能正常，仓库读取后接意外的生产连接和批量数据传输则是另一回事。 思科明确不主张对每个数据包跑重型 AI 推理，而是让检查匹配风险：轻量模型可对加密流量分类、识别应用并暴露异常行为，Cisco Secure Firewall 的 Encrypted Visibility Engine 已能在不解密 TLS 的情况下识别客户端应用，解密与语义分析则在证据、置信度和风险支持时选择性使用。在执行方式上，思科指出静默丢包是对自主主体最糟糕的回应，智能体可能反复重试、另寻路径或直接退出，留下半修改的仓库和不一致的流水线；在防火墙代理 MCP 和模型 API 等协议处，应返回机器可读的结构化拒绝，说明被阻断的内容、适用的策略以及下一步应停止、升级给人类还是请求批准。 性能被思科列为安全需求而非脚注：许多网络决策以微秒为预算，需要硬件加速、专用推理与更深的软件分析分工，这也是思科强调网络、芯片、硬件平台与安全软件协同设计的原因。管理挑战可能比检查挑战更大，面对短生命周期工作负载、自主智能体、私有模型和运行时动态发现的工具，静态规则无法穷举，策略管理需转向意图表达，例如“开发智能体可访问已批准的模型、工具和仓库，但不得直连生产系统”，由 AI 发现依赖、推荐策略、模拟影响并检测漂移，但原则是…