AI变成“黑手”之后，网络安全能否迎来时代的“主升浪”？

从7月OpenAI的智能体自主攻击入侵Hugging Face的基础设施，到前几天Anthropic前研究员Jacob Coxon离职后警告“AI会杀死所有人”，AI安全在大模型进入RSI（递归自我改进）阶段后热度陡增。

或许，担忧AI真能对人类造成剧烈伤害的人不多，但过度介入生产流程后，人类正逐渐失去对技术演化过程的理解和干预能力。此时，安全攻防变成了AI自己的“游戏”。更不用提AI本身也在成为安全攻击的武器：

攻击者不再只是利用大模型生成钓鱼邮件、编写恶意代码，AI正在参与漏洞利用、攻击路径规划、权限维持和工业控制系统渗透。在很多关键行业，AI安全正在变成能拿到订单的需求。

随着安全产业底层逻辑的改变，原本略显“沉默”的安全公司也开始进入新的叙事周期。深信服、天融信、绿盟科技……从资本市场到业务成果，一个巨大的机会正在酝酿。

一、AI安全进入实战阶段，需求发生了什么变化？

AI对网络攻击的影响，首先体现在攻击门槛下降。

2024年，行业发生过一次FrostyGoop。攻击者从暴露在公网的路由器进入，在系统内潜伏9个月，随后向供暖控制器发送符合Modbus协议的指令，篡改温度读数，最终导致乌克兰利沃夫600多栋公寓楼、约10万名居民断暖近48小时。

当时，攻击者并没有突破协议本身，只是掌握了协议允许执行的指令。过去，完成此类攻击需要同时理解网络渗透、工业协议、设备架构和现场运行逻辑。但大模型出现后，攻击者不需要从零开始培养完整团队，只需要把任务交给多个智能体，再由人完成关键决策。这个场景多少有些滑稽——当时的AI制造危险要比干正事更专业。

2026年8月，美国国家安全局、网络安全与基础设施安全局、联邦调查局、能源部和环保署联合发布警报，确认恶意行为体正在使用AI生成的漏洞利用脚本攻击西门子S7系列PLC，涉及水务、能源、食品、化工和制造等行业。

时隔两年，AI显著降低了开发可用工控利用脚本所需要的专业门槛和技术门槛。安全行业敏锐地感觉到，攻击链条已经出现结构性变化——攻击者过去需要较长时间完成侦察、理解环境和编写工具，现在智能体似乎有些太容易肆意妄为了，其导致的核心问题是，人类开始难以跟上这种攻防节奏。

有三组数据可以说明问题：

行业机构CrowdStrike发布的《2026全球威胁报告》显示，攻击者平均突破时间为29分钟，最快仅需27秒。Qualys行业资料显示，企业修复已知漏洞的平均周期仍超过37天。USENIX Security的研究显示，安全运营中心的告警误报率长期接近99%。

过去，安全团队还能依靠经验，从大量告警中筛选出少数高风险事件。攻击载荷、钓鱼邮件和权限操作越来越多地由AI实时生成后，基于固定特征和已知规则的检测方式会持续承压。

偏偏作为它们的客户，金融、能源、交通和制造企业同时运行传统IT系统、工业控制设备、信创软硬件和大量定制化应用。通用安全工具往往擅长识别某一类威胁，却难以理解设备之间的业务关系。AI攻击进入OT环境后，安全产品需要具备协议识别、资产理解、行为判断和业务影响分析能力，单纯增加设备数量已经不能解决问题。

2026年3月10日，CNCERT针对AI智能体OpenClaw发布风险提示，明确指出，AI智能体进入金融、能源等关键行业后，可能造成核心业务数据、商业机密和代码仓库泄露，甚至导致业务系统瘫痪。随后，清朗专项行动将利用智能体窃取用户数据或账户密钥列入重点整治范围。

Gartner预测，到2028年，25%的企业数据泄露可能追溯到AI智能体滥用。虽然要求机构定期进行检测很容易，但这很难防御未来潜在的突发攻击。从攻击端、企业端到监管端，AI安全已经从“技术趋势”变成采购与治理问题。而治理，最好的方式就是一个持续有效的系统。

二、安全龙头的时代机遇：从工具走向系统

当下AI安全行业处于什么状态？行业龙头的表现能给我们一些参考。

深信服半年报披露，其2026年上半年实现营业总收入39.98亿元，同比增长32.85%；归属于上市公司股东的净利润为2.31亿元，经营表现实现扭亏。

其中，网络安全业务收入15.87亿元，同比增长10.57%，毛利率维持在78.52%。从收入结构看，AI基础设施业务增长较快，网络安全业务也恢复增长，AI安全平台和安全托管服务等创新业务开始形成放量迹象。AI基础设施、网络安全产品和安全托管服务正在形成相互支撑的关系。

AI基础设施业务的增长，说明企业部署模型需要新的算力、网络和运维能力；安全业务的恢复，则说明客户开始为AI应用带来的新风险付费；安全托管服务的扩张，意味着企业不愿意只采购软件或设备，而希望将告警分析、事件研判和持续运营交给专业厂商。

三类需求相互连接，最大的意义是实现了对“AI环境”及其长期安全的定义与维护。

从前述的一些案例可见，AI安全不是单点防护。模型本身需要安全评估，训练数据需要访问控制，推理过程需要防止提示注入和敏感信息泄露，智能体需要身份认证、权限管理和行为审计，运行环境需要网络隔离、终端保护和漏洞管理，发生安全事件后还要完成溯源、处置和恢复。

深信服长期经营网络安全、云安全、终端安全、身份与访问管理以及安全运营业务，具备把不同安全能力放进统一架构的基础。AI时代客户真正需要的，不是再增加一个独立平台，而是让模型、应用、用户、设备、网络和数据进入可观测、可审计、可控制的体系。

其次，公司具备较强的私有化部署适配能力。

对于金融、能源、通信等行业，模型最好能够部署在企业本地或专有云环境中，安全日志、攻击样本和业务数据也应留在可控范围内。深信服同时覆盖云平台、网络安全和基础设施服务，比较容易把模型能力嵌入客户原有环境，而不是要求客户重新建设一套完全独立的系统。

在产品层面，Copilot式工具目前还在AI工具市场占有不小的份额，但安全需求的特殊性，决定了自动化安全运营很重要。

所谓Copilot式工具，主要用于告警摘要、报告生成、问答和脚本辅助。此类能力能够改善工作效率，却无法解决攻击速度远快于人工处置速度的问题。真正有价值的AI安全产品，需要在授权边界内完成检测、研判、溯源和处置建议，部分低风险动作还可以自动执行。

一个有效的安全运营系统，应当具备专用于安全场景的模型、从Copilot走向Autopilot的运营流程，以及持续化的检测验证。当模型同时掌握资产重要程度、业务依赖关系和攻击路径后，告警处理便不再是逐条查看，而是围绕完整攻击链判断风险，并给出处置顺序。

2026年8月，深信服Sangfor AI参与国际权威AI安全基准测试CyberGym，与全球头部厂商的模型及智能体同场评测，公开信息显示评测成绩位居全球第一。这侧面反映了它的基础技术能力已稳居行业前列。

三、从行业变化看，机会不只是AI安全产品本身

对这段时期集中爆发的安全相关问题做一个总结，我们会发现，AI安全行业正在走向安全体系的重新设计。

过去，企业安全建设常常按照设备、网络边界和合规检查展开。企业买防火墙、终端安全、入侵检测和日志平台，再由安全团队负责日常运营。

而AI进入业务环境后，风险来源变得更加分散：模型可能泄露训练数据，智能体可能误用权限，插件可能被提示注入，自动化流程可能调用错误接口，员工还可能把敏感资料上传至公共模型。现在，安全问题扩展到模型、数据、身份、权限和行为。

那么，覆盖AI应用全生命周期的能力有哪些？

第一项能力，是AI资产识别和风险评估。

企业往往并不清楚内部部署了多少模型、多少智能体、调用了哪些插件，也不清楚哪些员工在使用外部AI服务。没有资产清单，便无法建立安全策略。深信服可以借助现有网络、终端和云安全能力，识别模型服务、推理接口、智能体账号、数据流向和外部调用关系，帮助企业形成AI资产管理体系。

第二项能力，是智能体身份与权限控制。

智能体拥有的权限越多，潜在风险越大。国外六家机构在2026年5月发布的Agentic AI使用指南提出，每个智能体应具备经过加密验证的专属身份，凭据应当短时有效，任务结束后立即失效；遇到不确定情况时，系统应默认暂停并提交人工，而不是继续执行；涉及资金、敏感数据和不可逆操作时，必须经过人工审批。

安全产品的价值，便从“判断有没有攻击”扩展到“判断谁在调用、调用了什么、是否有权调用、结果是否能够撤销”。深信服原有的身份安全、终端安全、网络安全和云安全能力，可以成为智能体权限治理的基础。若公司能够把身份、访问、行为分析和审计统一起来，便有机会获得比单纯模型安全厂商更完整的客户入口。

第三项能力，是AI驱动的持续安全运营。

攻击者可以让多个智能体并行扫描目标、生成攻击脚本和尝试不同路径，防守方也必须拥有类似的自动化能力。安全运营中心不能继续依赖人工逐项筛选告警，而需要由AI完成初筛、关联分析、攻击链还原和低风险处置，把高风险事项交给专家审批。深信服的安全托管MSS业务正好提供了落地场景。

第四项能力，是从事后响应转向持续验证。

过去的渗透测试往往按年度或项目进行，企业在测试前临时加固，测试结束后再恢复常态。AI攻击速度提高后，AI红队、漏洞验证、云安全检测、终端响应和安全托管服务可以结合起来，形成“测试—发现—修复—复核”的服务闭环，使得运营常态化。

下一轮安全预算，将在这种模式的升级中释放。属于AI安全企业的“时代主升浪”，也将在这个过程中逐渐落地。

来源：松果财经