CrowdStrike推出Falcon Guardian：端侧AI智能体安全管控新利器

CrowdStrike Holdings Inc. 近日发布了 Falcon Guardian，这是一款能够发现企业内部运行的 AI 智能体，并自动拦截未经安全团队授权的智能体的安全软件。

此次发布是在该公司于拉斯维加斯举办的 Fal.Con 2026 大会上宣布的。Falcon Guardian 是 Falcon AI Detection and Response 的升级版，后者于去年 12 月正式上线，并在今年 3 月的 RSAC 大会上新增了端点运行时保护与影子 AI 发现功能。此次更新的核心亮点是新增了执行管控能力。CrowdStrike 认为，设备是智能体进行推理、规划和代码运行的场所，因此也是唯一能够完整记录智能体实际行为的位置。

发现功能是第一步。Falcon 传感器可对 Windows 和 macOS 设备上已知及影子智能体进行全面盘点，涵盖运行中和休眠状态的智能体，并记录每个智能体的部署者及其安全状态。Falcon Guardian 随后将智能体行为与端点遥测数据关联起来，构建一条完整的追踪链——从用户的提示词出发，贯穿所使用的身份、调用的工具和技能，直至智能体对系统所做的一切操作。管理员可以指定哪些智能体允许在受管端点上运行，不在许可名单内的智能体将被直接拦截。

检测与响应功能同样基于相同的遥测数据。Falcon Guardian 既可识别针对智能体的外部攻击，也能发现智能体自身的异常行为，并在事件处理过程中实时还原执行链、评估潜在影响范围。

"CrowdStrike 通过将端点打造为攻击拦截的控制点，开创了 EDR 领域的先河。AI 时代同样需要这种思路，"创始人兼首席执行官乔治·科尔茨表示，"AI 改变的不是攻击的本质，而是攻击的速度。单靠治理策略无法阻止一个已经在运行中的智能体。"

Falcon Guardian 目前仍有两项功能尚未正式上线。AI Gateway 将作为企业 AI 流量的前置层，对所有调用（包括模型上下文协议连接）统一应用 Falcon 策略，目前处于预测试阶段，预计下季度正式发布。托管检测与响应服务 Falcon Complete for Guardian 则计划于本季度晚些时候推出。通过 Falcon Adversary OverWatch 跨域实现的托管威胁猎杀功能目前已可使用。

智能体遥测数据将作为第一方数据接入 Falcon Next-Gen SIEM，自带存储功能，可与身份、云端及 SaaS 活动数据进行关联分析。CrowdStrike 指出，竞争对手的 AI 安全工具自身不具备安全信息与事件管理能力，用户不得不额外接入第三方产品，而随着智能体数量增长，相关成本也会持续攀升。

Falcon Guardian 是 CrowdStrike 在本届大会上发布的第二款重要产品。Falcon IQ 在大会首日已率先亮相，该产品借助超过 50 个智能体承担 Project QuiltWorks 联盟的安全评估与修复工作。

Q&A

Q1：Falcon Guardian 是如何发现和管控 AI 智能体的？

A：Falcon Guardian 通过 Falcon 传感器对 Windows 和 macOS 设备上所有已知及影子智能体进行盘点，无论其处于运行还是休眠状态，均记录部署者信息和安全状态。管理员可以设置许可名单，指定允许运行的智能体，不在名单内的一律拦截。同时，系统将智能体行为与端点遥测数据关联，构建从用户提示词到系统操作的完整追踪链。

Q2：Falcon Guardian 与之前的 Falcon AI Detection and Response 有什么区别？

A：Falcon AI Detection and Response 于去年 12 月上线，今年 3 月新增了端点运行时保护和影子 AI 发现功能。Falcon Guardian 是其升级版，核心新增能力是执行管控——不仅能发现和检测智能体，还能主动拦截未经授权的智能体运行，这是之前版本所不具备的功能。

Q3：Falcon Guardian 的 AI Gateway 功能什么时候可以用？

A：AI Gateway 目前处于预测试阶段，尚未正式上线。该功能将作为企业 AI 流量的前置管控层，对所有调用（包括模型上下文协议连接）统一应用 Falcon 安全策略。CrowdStrike 表示，AI Gateway 预计将于下个季度正式发布。