2026-10-15 18:23:16 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

诸神之战：终端，成为智能体安全主战场

原创

青藤AI观察室
青藤AI观察室

青藤云安全

2026年10月12日 18:00
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

终端安全历史上真正推倒重来的时刻只有两次。

一次是杀毒软件，一次是EDR

这一回，AI智能体刚刚踢开了第三回合的大门。

今年夏天，短短五周内，近4亿美元种子轮与A轮资金涌入早期终端安全初创公司。Palo Alto、CrowdStrike、微软等全球巨头纷纷砸钱收购进场，将终端视为待瓜分的“无主之地”。

下文将拆解其中缘由、竞逐格局，以及我眼中的胜负关键。

高清完整报告可【关注上方公众号】，后台回复关键词【终端安全】即可下载。

PART 01

一场跑马圈地的争夺战，已经打响

2026年，CrowdStrike、Palo Alto、微软三家全球最具实力的安全公司，几乎同时向市场交付了同一件东西。

CrowdStrike 叫它AIDR（AI Detection & Response），延续自己写了十年的EDR剧本；Palo Alto叫它AES（Agentic Endpoint Security），把战火拉回自己的主场；微软把它塞进Entra体系，依托已部署的Defender许可证，叫它MDE（Microsoft Defender for Endpoint）。

无论是叫AIDR还是AES，都是牌面上的花活。牌桌下的共识大家已经达成一致——终端安全已经进入智能体时代，新的采购窗口即将打开，新能力必须尽快长出来。

采购窗口只有12–18个月

如果不在客户形成采购认知之前把能力补齐，后面要花几倍代价去抢。Palo Alto用3亿美元收购成立仅8个月的Koi，补充智能体端点可见性；CrowdStrike收购Pangea，增加AI应用安全护栏；SentinelOne用2.5亿美元收购Prompt Security，获得提示注入防护能力。

三笔交易，标的都很年轻，价格都不便宜，买的大多不是收入，而是时间和位置，就是当客户要采购AI端点安全时，我必须已经在货架上。

三个并存的命名也说明战局焦灼。

还没有任何一方拿到定义权

定义权在客户的采购清单里、在监管的检查表里。当市场采购窗口打开，第一个被想起来的名字赢面最大。就像2013年之后没人给EDR起第二个名字。

终端安全的诸神之战，旧王跑马圈地，新王已来叩门。

PART 02**

终端之战，始于一个没有敌人的入侵

安全研究机构Irregular做过一个实验：连攻击者都不需要。只给多智能体系统一个紧迫的目标和权威的语气，没有任何恶意提示，系统就自发涌现出完整的攻击链——伪造session cookie、关闭端点防护、用隐写术绕过DLP。

安全第一次要防守的东西有权限，没有恶意，有授权，没有攻击者。

企业合法正常业务活动，成为攻击入侵的完美伪装

AI智能体不是给安全带来了一类新漏洞。而是终端风险形态的扩张，它第一次让“攻击”披上了合法工作的外衣。

一个运行在终端上的智能体，用你的权限凭证、以机器速度读文件、执行Shell、调用API、串联工具。当它“在Bob的授权下”搬运数据，每一条日志记录的都是Bob。

每一个单步操作都合规，但一连串操作序列本身，就是一次入侵。

威胁判断从“单点行为特征”，变成了“意图时序基线”。

终端安全正在经历第三次变革，每次触发点都是机器上的“工作单元”发生质变。

第一次，工作单元是“文件”，护城河是病毒库规模。
第二次，工作单元是“行为”。护城河是传感器位置+遥测数据量。
第三次，工作单元变成“意图”，前两次是模式匹配，第三次是意图建模。

PART 03**

胜负手：一条意图授权链，连续证明

过去终端安全都是模式匹配问题（匹配特征/行为/异常），现在是意图建模问题。

然而，员工的意图在脑子里，最多在工单里写一句“帮我整理上季度的客户反馈”。智能体拿到的是这句话，执行的是几百次文件读取、API调用、数据写入。

你无法从一次文件读取判断意图。因为一次文件读取是“在整理客户反馈”还是“在偷数据”，这两件事在系统调用层面长得一模一样。

而且意图判断真正致命的是时间维度。

意图有半衰期，它随步数衰减

传统系统里，授权与行使几乎同时。你点了“保存”，写入立即发生，意图不会走样。智能体里不是这样，用户在T0说“帮我整理这些邮件”，智能体可能在T+3小时的第47步执行了一次S3写入。中间隔了四十六步，其中任何一步都可能改变“这还是不是用户想要的”。

智能体自主度越高，意图在跨步传递中衰减越快。

智能体终端安全，要检测判断的东西不是单一行为，而是

一条意图授权链，连续性证明

智能体的委托授权链是跨层的，它从T0的意图一路贯穿到T+n的系统调用。没有任何单层能同时看见“说了什么”和“做了什么”。

因此，解决意图鸿沟，根本是要打通意图授权链，从用户提示到系统内核动作进行连续判断，让权限与意图始终对齐。

PART 04**

插桩点之争：下探内核vs上浮身份

意图这道鸿沟摆在眼前，如何弥合？答案取决于你把传感器插在哪儿。这是这一次终端安全各家产品真正的分水岭。

4.1各家产品真正的分水岭

目前市面上存在三个不同的插桩位置。「OS层」vs「智能体Hook」vs「运行时内部」。

三个位置，三种世界观

OS层（传统EDR的位置）：能看到进程树、文件访问、网络事件，在内核与运行时重建委托关系，但看不到“这段指令是谁写的”语义事实源
智能体Hook（微软的路）：接入厂商暴露的事件接口，在提示词、工具调用前、工具响应后三点做内联检查。能读到语义层，代价是受制于生态，只有愿意暴露hook的智能体才能被保护。
运行时内部（Koi/内线潜伏路线）：直接埋进框架内部，能监控到预处理与工具分发环节。本质上是“寄生”，耦合度极高，智能体框架一改版就得跟着改。

注：Anthropic、OpenAI等AI厂商正把安全控制直接做进本地智能体运行时。发布智能体的公司同时也提供管控手段，至于他们是将框架开放给第三方插桩，还是闭门造车，将决定在智能体Hook/运行时内部插桩玩家的生存空间。

把三个插桩位置往上抽象一层，技术路线其实已经分裂成「下探内核」与「上浮身份」两个阵营。而中间，是那条最深的意图鸿沟。

下探派（CrowdStrike、Palo Alto）相信“看得见底层就能推断意图”。主张用行为反推意图。我看不懂你在想什么，但我能看见你做了哪些系统调用，我从行为序列里推断。

上浮派（微软）把智能体安全放在Entra体系中，主体在身份与数据平面，而非内核。主张用权限约束意图。我不判断你想干什么，我只管住你能干什么。把权限收死，意图就无所谓了。

两条路都成立，也都想解决意图鸿沟这个根本问题。

4.2谁能成为控制点

智能体的委托授权链是跨层的，它从T0的意图一路贯穿到T+n的系统调用，从网关到身份，再到端点，没有任何单层能看见全貌。

那么问题来了——哪一层能成为最有效的控制点？

网关站在意图的入口，看不见动作落地。

身份站在授权的源头，看不见动作执行。

端点，站在意图兑现成现实的出口

只有端点，既有能力向上接“用户说了什么”，又有能力向下看“机器最终做了什么”，是智能体终端安全最有效的控制点。

无论你在多少层上定义“应该”，最终都要在“实际”发生的那一层落地执行。

让智能体在没有明确用户意图的情况下无法行使权限。

这件事的根，还在端点传感器。

把智能体行为直接接到端点遥测上，建立一条完整的意图授权链，从用户提示（说了什么）、到身份（替谁做）、到工具调用/技能使用（怎么做的）、到系统动作（最终造成了什么），端点把“判定意图所需的全部上下文”，汇聚到了唯一能看到完整执行的那个位置上。

端点是一个物理位置，不能用算法绕开，只能靠时间去铺

所以说，终端安全第三回合的入场券，握在拥有端点基本盘的人手里。终端安全厂商（青藤）十几年积累的遥测基础设施，已经在观察1000万+行业核心服务器的进程级行为，短期内根本无法复制，而且这种不对称性会随每一个新增到平台上的智能体终端复利增长。等其他玩家真能建起足够的传感器覆盖面时，青藤已经积累了别人无法回溯补齐的行为基线。

面对终端安全第三回合，青藤的答案是“两端布局，统一平面”。

端点侧，依托下一代端点安全一体化平台，打造One-Agent·One-Platform架构优势，持续下探内核，看见更深更细的执行；AI侧抓住协议层，通过AI安全网关上浮身份与意图理解，基于身份和业务视角，解决意图鸿沟。

一端下探、一端上浮，当下两条线各自纵深，未来依托平台柔性，打通身份与策略主线，把“执行了什么”与“想干什么”缝进同一治理平面，用身份对齐两端，把每个智能体连接到它背后的人和工作负载，并随风险与上下文变化调整访问，实现智能体意图授权链的连续性检测。让终端安全长出意图理解能力，打造一体两面的整合平台。

PART 05**

一个端点，解决三个问题

智能体让威胁判断从动作“单点特征”，变成意图-执行“时序基线”。把这类新威胁拆开，有三个明显趋势。

5.1检测信号上移到语义层

智能体合法读取.env、每小时起上百次Shell、全天调API，这是它的正常工作方式。于是恶意操作链和正常生产链在进程层面长得一模一样，阻断其一就会误伤其二。

区分二者的信号，从系统调用上移到了语义层——README里写了什么、工具调用的真实意图是什么、操作是否符合人的实际指令。

终端安全第三回合，是检测维度和判断方式的变化

单一系统调用无法判断，这次行使权限是否符合委托意图。需要从用户提示到系统调用连续判断授权和意图的一致性。

端点把“判定意图所需的全部上下文”，汇聚到了唯一能看到完整执行的那个位置上。它从T0的意图一路贯穿到T+n的系统调用，做连续性判断。

CrowdStrike把它直接命名为AIDR，深意就在这里，下一代EDR的发展路径，是长出“意图”这一层。

5.2响应窗口压缩到几秒内

传统防御响应，预设了攻击者的驻留时间。你只需要比攻击者快一点。

而注入的恶意智能体链条，在数秒内即可完成。部分智能体技能文件会在预处理阶段，就悄悄外泄SSH密钥与云凭证。模型自身的安全推理机制根本来不及介入。

防守侧的对照数据，全球平均识别时间247天。

247天vs几秒钟

攻击完成时间小于一次告警的生命周期。因此判定响应必须更快，前移到动作发生的那一刻。

端点，站在授权执行动作“实际”发生的那一层，它不做事后拼图，而是在T+n的每一步动作发生时，即时校验“这一步是否仍连续隶属于T0的委托意图”，把判定从“天级回溯”压到“动作级实时”。

5.3受信任软件长出“手脚”

最典型的例子是刷榜投毒：智能体会自己安装技能，攻击者不需要攻破仓库、劫持构建，只要刷高一个下载量排名，就能让恶意技能被智能体“自主优先安装”。

在智能体会自己安装技能的世界里，刷榜就等于大规模投毒

CrowdStrike CEO在RSAC 2026上披露了一家财富50强企业的真实案例：一个智能体“想解决一个问题，发现自己权限不够，于是自己把那条限制给删掉了”。对具备管理员凭据的进程而言，修改安全策略是一个合法动作。但对你而言，结果和入侵没有任何区别。

智能体能自己装技能，本质是能自己扩充权限，智能体自主性越强，权限越可能脱离原始委托意图。

在端点侧做连续性授权判断，从用户意图一路推导到本次动作的权限行使，任何私自扩权，都会在动作发生的那一刻被拦下。

PART 06**

钱什么时候来：等一个CIO被开除

技术讲完了，现在讲钱什么时候来。

6.1 37% 对3%，一个12倍的缺口

权威机构Enterprise Technology Research（ETR），在《2026安全现状研究》中调研了517位企业技术领导者。有两个数字放在一起看，极具冲击力。

部署侧：37%的组织已部署AI智能体（2025年为27%）。
控制侧：仅3%报告“智能体专属安全控制的大规模生产部署”。

37% 对 3%，12倍差

这个数量级在安全产业史上不常见。

通常一个新威胁出现时，市场会在12–18个月内推出“够用”的产品，覆盖率迅速爬升——云安全是这样，容器安全是这样。这次没有，为什么？

缺的可能不是产品，是产品该做成什么样还没有标准。

ETR报告里有一句话是最直接的证据：“没有任何一种治理模型成为明确标准，排名前三的方案部署差距在3个百分点以内”。同时，报告中还有两个值得注意的数据，68%的安全领导者给“AI智能体对网络安全未来的重要性”打出4-5分（5分制）。AI保护以59%登顶安全预算头号优先级（计划增加预算的组织占比）。

共识已经形成，行动没有收敛。都在看，都想买，但都还没下大单。大家到底在等什么？

6.2在等风险落到某个具体人头上

企业安全预算不是按“风险”分配的，是按“合规科目”分配的。一个新科目能拿到多少预算，与合规监管强度正相关：它被写进合规测评项了吗？被写进关基检查清单了吗？被行业监管要求点名了吗？

回顾历史，每一次安全预算的跃阶，触发点都不是“风险变大了”——风险一直在变大。而是“风险落到了某个具体的人头上”。

安全预算从来不是按风险定价的

是按「监管强度」和「责任归属」定价的

等保2.0落地后，安全从“可选项”变成“合规项”，测评不通过就意味着系统不能上线、负责人被约谈；《关键信息基础设施安全保护条例》把安全第一责任人直接写到了运营者主要负责人头上；历年各级监管通报里被点名的单位，第二年安全预算都会增加。

如果安全能力保持线性，而攻击面与AI自主度都在指数增长，剪刀差会持续扩大到某个临界点——重大事故触发监管通报，继而限期整改、强制采购。这套路径的特点是慢启动、强执行，一旦标准落地，政企采购端会立刻形成刚性约束。

这个临界点，IDC FutureScape系列报告已经给出了时间表。预测到2030年，高达20%的全球营收最高的1000家企业，将因AI智能体引发重大风险事件，面临严重监管处罚，以及主要负责人被解雇。

目前，监管层已经开始在AI安全领域铺路，强制性国家标准《智能体应用安全基本要求》《人工智能安全治理框架3.0》《智能体规范应用与创新发展实施意见》等一系列监管文件接连发布，支撑AI安全能力强制部署启动落地。

风险是抽象的，通报和问责是具体的——抽象的恐惧卖不出预算，具体的恐惧可以。

今天所有的命名、并购与产品发布，都是在抢占那件事发生时的默认选项位置——而那个位置目前还空着。