當(dāng)你的數(shù)據(jù)倉庫突然開始抓黑客，這是升級還是搶飯碗？

Databricks 剛干了件讓安全圈撓頭的事。這家手握 50 億美元新融資的數(shù)據(jù)巨頭，周二甩出一款叫 Lakewatch 的產(chǎn)品——不是幫你存數(shù)據(jù)，是幫你抓內(nèi)鬼。更妙的是，抓人的不是傳統(tǒng)安全軟件，是 Anthropic 的 Claude 帶著一群 AI 特工上崗。

這事的關(guān)鍵在于：Databricks 為了造這玩意兒，去年偷偷買了 Antimatter，兩周前又緊急吞了 SiftD.ai。兩家都是名不見經(jīng)傳的小團(tuán)隊(duì)，加起來可能不到 60 人。

Antimatter 的創(chuàng)始人 Andrew Krioukov 去年還在 RSA 創(chuàng)新沙盒大賽上秀過肌肉，演示了個(gè)"數(shù)據(jù)控制平面"——讓企業(yè)能安全部署 AI 特工，同時(shí)把敏感數(shù)據(jù)鎖在保險(xiǎn)柜里。現(xiàn)在他已經(jīng)在 Databricks 帶了幾個(gè)月隊(duì)，直接統(tǒng)領(lǐng) Lakewatch 產(chǎn)品線。

SiftD.ai 更離譜。這家公司去年 11 月才發(fā)布產(chǎn)品，是個(gè)讓人和 AI 一起寫代碼的交互式筆記本（類似 Jupyter）。創(chuàng)始人 Steve Zhang 的老東家 Splunk 倒是赫赫有名——他干了多年首席科學(xué)家，還發(fā)明了 Splunk 的搜索處理語言。Databricks 團(tuán)隊(duì)跟他熟，交易兩周就拍板，周一剛交割。

為什么數(shù)據(jù)公司突然要當(dāng)保安？

SIEM（安全信息與事件管理）這活兒，傳統(tǒng)上是 Splunk、Microsoft Sentinel、Elastic 的地盤。企業(yè)把日志往里倒，安全團(tuán)隊(duì)寫規(guī)則、查異常、追威脅。問題是數(shù)據(jù)量爆炸后，這套流程像用漏勺舀洪水——人力根本跟不上。

Databricks 的算盤很直白：我本來就存著你們的天量數(shù)據(jù)，何必再倒騰一遍給第三方 SIEM？直接在倉庫里開安檢通道，省掉數(shù)據(jù)搬運(yùn)的麻煩和泄露風(fēng)險(xiǎn)。

但光有這個(gè)還不夠。傳統(tǒng) SIEM 的規(guī)則引擎是"已知威脅抓得住，未知威脅看運(yùn)氣"。Databricks 押注的是：讓 Claude 當(dāng)分析師，用自然語言問它"這周有沒有員工在凌晨三點(diǎn)下載了客戶數(shù)據(jù)庫"，它能自己翻日志、找關(guān)聯(lián)、出結(jié)論。

Antimatter 的技術(shù)正好補(bǔ)上關(guān)鍵缺口——怎么讓 AI 特工接觸敏感數(shù)據(jù)時(shí)，不變成數(shù)據(jù)泄露的幫兇。 Krioukov 演示過的"控制平面"，本質(zhì)是給 AI 操作員發(fā)通行證：能查什么、改什么、留什么痕跡，全程可審計(jì)、可撤回。

兩周閃電收購，買的是人還是代碼？

SiftD.ai 的收購明顯是搶人。產(chǎn)品才發(fā)布四個(gè)月，團(tuán)隊(duì)規(guī)模"幾個(gè)人"（LinkedIn 數(shù)據(jù)），PitchBook 連它融過資的記錄都沒有。Databricks 看中的大概是 Steve Zhang 的腦子——Splunk 的搜索語言架構(gòu)經(jīng)驗(yàn)，加上 Astronomer（對，就是 Coldplay 主唱當(dāng) CEO 鬧丑聞那家）的 CTO 履歷。

Antimatter 倒是可能帶點(diǎn)硬貨。2022 年 NEA 領(lǐng)投 1200 萬美元，Krioukov 在 RSA 露過臉，技術(shù)方向跟 Lakewatch 的需求嚴(yán)絲合縫。Databricks 沒透露具體多少人并入，但確認(rèn)了"員工都加入了"——這種模糊表述，通常意味著團(tuán)隊(duì)整體收編。

兩筆交易都沒披露金額。以 Databricks 現(xiàn)在的彈藥量（50 億美元融資 + 數(shù)十億美元年?duì)I收），這種體量的收購大概跟買辦公桌椅差不多。

Claude 當(dāng)保安，靠譜嗎？

把大模型塞進(jìn)安全分析，不是 Databricks 首創(chuàng)。Microsoft Copilot for Security、Google 的 Chronicle 都在干類似的事。但 Databricks 的差異化在于：數(shù)據(jù)不動(dòng)。

傳統(tǒng) SIEM 要把日志從各系統(tǒng)抽出來，清洗、標(biāo)準(zhǔn)化、再分析。這個(gè)過程既燒錢又危險(xiǎn)——數(shù)據(jù)搬得越多，泄露面越大。Databricks 的"湖倉一體"架構(gòu)讓數(shù)據(jù)原地待命，AI 特工直接進(jìn)場作業(yè)。

代價(jià)是：你得把數(shù)據(jù)全存在 Databricks 里。這不是技術(shù)選擇，是商業(yè)捆綁?？蛻羲愎P賬：省掉一套 SIEM 的授權(quán)和運(yùn)維成本，換來更深度的平臺鎖定。

Antimatter 的安全控制層在這里變得關(guān)鍵。AI 分析師權(quán)限太大，等于給黑客發(fā)了個(gè)智能助手；權(quán)限太小，又變回人工審核的慢節(jié)奏。Krioukov 團(tuán)隊(duì)的任務(wù)，就是畫這條精細(xì)的邊界線。

Steve Zhang 的 SiftD 技術(shù)可能另有用途——那個(gè)"人機(jī)協(xié)作筆記本"的交互模式，或許會(huì)變成安全分析師調(diào)教 AI 特工的界面。讓不懂代碼的人也能用自然語言指揮 Claude 查案，這比寫 SPL（Splunk 處理語言）門檻低得多。

一個(gè)有趣的細(xì)節(jié)：Databricks 發(fā)布會(huì)上的演示場景，是 AI 特工發(fā)現(xiàn)某員工賬戶異常登錄后，自動(dòng)凍結(jié)權(quán)限并生成事件報(bào)告——全程沒叫醒睡在床上的安全工程師。

這聽起來像裁員預(yù)告，但 Databricks 的措辭很謹(jǐn)慎：AI 處理"噪音"，人類專注"信號"。翻譯一下：初級分析師的活被搶了，但"判斷這是不是真入侵"的鍋，還得人背。

Lakewatch 的定價(jià)和上市時(shí)間還沒公布?？紤]到 SiftD 周一才交割，產(chǎn)品估計(jì)還在連夜縫扣子。但 Databricks 的信號很明確：數(shù)據(jù)基礎(chǔ)設(shè)施的盡頭，是安全；安全的未來，是 AI 特工。

Krioukov 在 RSA 演示時(shí)說過一句話，現(xiàn)在看像是預(yù)言：「數(shù)據(jù)控制平面不是可選項(xiàng)，是 AI 時(shí)代的必需品?！拱藗€(gè)月后，他站在了能驗(yàn)證這句話的位置上。