现阶段典型AI 安全产品、技术能力、差异对比与演进方向

原创

H
H

AI安全推进计划

2026年10月7日 16:31
山东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

报告摘要

当大模型从“能用”走向“敢用”，AI 安全产品的价值定位正在发生根本性迁移。本报告基于 OWASP LLM/Agentic Top 10、NIST AI RMF、Gartner AI TRiSM 及国内外监管框架，系统梳理了现阶段 AI 安全产品的典型形态、技术底座、能力边界与竞争差异，并给出后续演进方向判断。

核心结论一：市场已跨过“有无”阶段，进入“体系化”竞争。AI 安全不再是单一的内容过滤工具，而是由资产发现、供应链安全、运行时围栏、数据防泄露、智能体身份治理、红队评测、安全运营七大能力共同构成的体系。单一能力的产品难以承接政企客户的端到端需求。

核心结论二：“保护AI”是新增量，“用AI做安全”是基本盘。Security for AI 由模型与智能体的新风险催生，增速最快；AI for Security 用大模型重构安全运营，是传统厂商的存量优势战场。二者在能力与数据上正加速融合。

核心结论三：国内外差异的本质不是技术代差，而是需求结构差异。国内以“合规备案 + 本土化交付”为第一驱动，欧美以“云生态集成 + 模型能力自研”为第一驱动。这直接决定了产品形态、收费模式与厂商阵营的分化。

核心结论四：最紧迫的未解问题是提示注入的根本性防御与智能体治理。OWASP 已将提示注入连续两版列为 LLM 首位风险，而现有护栏仍可被系统性绕过（如 EchoGram 翻转令牌攻击）。智能体的非人类身份（NHI）治理尚未形成成熟产品闭环。

一句话总结 AI 安全的产品竞争，正在从“谁会做过滤器”转向“谁能管住一个拥有权限、能调用工具、会跨系统行动的自主智能体”。这决定了未来三到五年厂商格局的重排。

1  研究背景：为什么 AI 安全成为独立赛道

1.1  从“AI 应用”到“AI 基础设施”的范式跃迁

过去三年，大模型完成了从技术演示到生产系统的角色转变。它不再是某个独立应用，而是逐步成为企业业务的智能底座——嵌入客服、研发、风控、运维、办公等核心流程。这一转变带来两个直接后果：其一，AI 的失效不再是“功能不好用”，而可能是数据泄露、合规违规甚至真实资产损失；其二，AI 系统的攻击面从“模型本身”扩展到了“数据—模型—应用—智能体—工具链”的完整链路。

Gartner 在 2025 年 2 月发布的《AI Trust, Risk and Security Management 市场指南》中明确提出：AI 治理与运行时执行两个层级正在合并，形成 AI TRiSM 市场中一个全新的独立细分赛道。这意味着市场已经认可——AI 安全需要独立的机制、独立的产品与独立的团队，而不能简单复用传统安全工具。

1.2  风险已经“从论文走向账单”

威胁从假设变为现实的速度，远超多数企业的预期。以下关键数据可从多个独立来源交叉验证：

关键指标	数值	来源与说明
自主智能体规模化部署的企业占比	91%	Okta《AI at Work 2025》
尚无 AI 治理框架的企业占比	44%	Okta《AI at Work 2025》
对非人类身份（NHI）有成熟管理策略的企业	仅 10%	Okta《AI at Work 2025》
自认已准备好保护智能体应用的组织	仅 29%	Cisco《State of AI Security 2026》
对智能体间通信有完整可见性的组织	24.4%	Gravitee 2026 调研
智能体已执行过超出预期范围操作的组织	80%	AI Agents: The New Attack Surface
无法追踪审计智能体所访问数据的组织	48%	AI Agents: The New Attack Surface
影子 AI 泄露事件的单次平均成本	$4.63M	较标准安全事件高 $670K

值得警惕的信号 80% 的企业承认其 AI 智能体已经执行过超出预期范围的操作，其中 39% 访问了未授权系统、31% 不当共享了敏感数据、23% 泄露了访问凭证。问题不在于“智能体是否会失控”，而在于“何时失控、损失多大”。

1.3  监管：从“软倡议”走向“硬约束”

监管是现阶段 AI 安全产品最强劲的采购驱动力之一，但国内外路径差异显著。

维度	中国	欧盟 / 美国
核心法规	《生成式人工智能服务管理暂行办法》《人工智能生成合成内容标识办法》	欧盟《人工智能法案》(AI Act)、GDPR；美国以行政令与行业指引为主
合规机制	算法备案 + 大模型备案 + AI 应用登记“三轨制”	欧盟：高风险 AI 系统义务、GPAI 模型义务；每个成员国须设立监管沙盒
技术标准	GB 45438-2025 内容标识（强制）、GB/T 45654-2025 生成式AI服务安全基本要求等五项国标	ENISA、NIST AI RMF 1.0、ISO/IEC 42001（可认证）、ISO/IEC 23894
执行力度	累计处置违规 AI 产品 3500+ 款，备案未完成将停止访问	以合规审查与罚款为主，跨境协同机制尚缺位
合规成熟度	强制性强、路径清晰，产品化程度高	自愿性框架多，可认证标准少

一个关键差异：欧盟的 AI Act 是“法律”，有罚则；ISO/IEC 42001 是“可认证标准”，有第三方审计；NIST AI RMF 是“自愿框架”，可借鉴但不可认证；Gartner 的 AI TRiSM 是“词汇表”，用于分类而非证明。企业在选型时必须区分这四者，避免被“我们符合 XX 框架”的话术误导。

2  威胁面：AI 安全到底在防什么

理解产品的前提是理解威胁。当前 AI 安全威胁已有相对稳定的权威分类体系，其中 OWASP 的两份清单是最具行业共识的基线。

2.1  OWASP LLM 应用十大风险（2025）

2025 版相较 2023 版有重大调整：新增“系统提示词泄露”与“向量与嵌入弱点”，大幅扩展“过度代理”以覆盖工具调用的自主智能体，并引入“无界消耗”以涵盖拒绝钱包（Denial of Wallet）成本攻击与模型窃取。

编号	风险项	本质与典型后果
LLM01	提示注入	构造输入覆盖模型原意；在 RAG/智能体场景下可导致数据外泄、越权操作
LLM02	敏感信息泄露	隐私、凭证、商业机密经提示、输出、日志或嵌入泄露
LLM03	供应链	被污染的基础模型、数据集、插件、向量库或云依赖
LLM04	数据与模型投毒	污染训练/微调数据或嵌入，植入偏见、漏洞或“潜伏后门”
LLM05	输出处理不当	未校验输出直连下游系统，引发 XSS/SSRF/RCE
LLM06	过度代理	功能、权限或自主性过大；智能体场景风险放大最明显
LLM07	系统提示词泄露	系统提示及其中的密钥、规则被套取
LLM08	向量与嵌入弱点	向量库被投毒、跨租户数据泄露、检索越权
LLM09	错误信息	幻觉被当作事实采纳，形成业务与法律风险
LLM10	无界消耗	资源与预算耗尽、拒绝钱包攻击、模型提取

表 2-1  OWASP LLM 应用十大风险（2025）核心内容

2.2  OWASP 智能体应用十大风险（2026）

2026 年 12 月发布的智能体清单（ASI01–ASI10，经 100+ 专家评审、在 Black Hat Europe 2025 发布）标志着威胁模型的一次跃迁。其贯穿全清单的架构原则是“最小代理”（Least Agency）：只授予智能体完成安全、有界任务所需的最小自主性。

编号	风险项	与 LLM 清单的关键差异
ASI01	目标劫持	恶意内容改变智能体的目标，而非单轮输出
ASI02	工具滥用	合法工具被以不安全方式使用，无 CVE 可利用也无异常进程
ASI03	身份与权限滥用	智能体继承或提升权限，需要 NHI 治理
ASI04	智能体供应链	被污染的工具、插件、MCP Server
ASI05	意外代码执行	智能体生成并执行代码/命令的安全边界缺失
ASI06	记忆与上下文投毒	被污染的记忆与 RAG 库持续影响后续决策
ASI07	智能体间通信不安全	多智能体系统中的消息伪造；“谁认证了审批智能体的消息？”
ASI08	级联失效	单点错误沿规划与执行链条传播并放大
ASI09	人机信任利用	用户过度信任智能体建议，形成社会工程新面
ASI10	失控智能体	被攻陷的智能体持续跨会话存在并冒充可信系统

表 2-2  OWASP 智能体应用十大风险（2026）：ASI07 / ASI08 / ASI10 为全新的测试工作

威胁链的真实形态 OWASP 特别提示：这些风险会“成链”。生产环境最典型的攻击路径是 LLM01 → LLM05/LLM06——通过一份被污染的 RAG 文档注入指令，诱导模型生成输出，而应用又以智能体自身的权限执行了该输出。因此测试必须覆盖“链”，而非孤立类别。

图 2-1  AI 应用与智能体核心威胁面（风险热度为综合 OWASP 排序与公开事件的示意性评级）

2.3  攻击者侧：AI 正在被“武器化”

▪  内容武器化 —— 生成式内容降低攻击成本：钓鱼邮件、虚假信息、恶意代码变种的边际成本趋近于零。

▪  深伪欺诈 —— 深度伪造使身份冒充与欺诈更难以肉眼识别，传统“看脸认证”失效。

▪  自动化攻击 —— 攻击者用 AI 智能体自动化侦察、漏洞利用与横向移动，防守方必须“以 Agent 对抗 Agent”。

▪  LOTA 横向移动 —— 如 CSA 2026 年研究指出的 LOTA（Living Off the Agent）攻击：攻陷一个高效率助手智能体后，其读邮件、访问文档、发消息等行为全部表现为“合法智能体活动”，传统 EDR/SIEM 规则完全失明——因为攻击流量就是正常业务流量。

3  典型产品谱系：七大类产品与代表厂商

现阶段 AI 安全产品可归为七大类。理解这一分类，是理解厂商差异与选型的基础。

图 3-1  AI 安全能力体系全景架构：治理合规层 — 运行时五域 — 安全运营层

3.1  第一类：AI 资产与态势管理（AI-SPM）

定位与价值：解决“看不见”的问题。持续发现企业内所有 AI 资产——包括内嵌于第三方软件的 AI、员工自带（BYO）AI、RAG 系统与自研模型/智能体，建立台账、评估配置风险、识别敏感数据暴露与影子 AI。

核心技术：以云安全态势管理（CSPM）与数据安全态势管理（DSPM）为技术底座，扩展出 AI 特有的资产识别、模型清单（AI-BOM）与风险评分能力。

▪  代表产品 —— PANW Prisma Cloud AI-SPM、Wiz AI-SPM 模块、CrowdStrike Falcon 集成的 AI-SPM、Axonius 的影子 AI 发现。

▪  权威依据 —— Gartner 明确将“AI 目录（AI catalog）”与“AI 数据映射”列为 AI TRiSM 的强制能力，说明资产可见性已被认为是所有后续防护的前提。

3.2  第二类：AI 应用安全围栏 / AI 网关（Guardrails / LLM-WAF）

定位与价值：解决“管不住”的问题。在用户与模型之间部署双向流式检测层，实时拦截提示注入、越狱、敏感数据外泄与违规输出。这是当前市场竞争最激烈、产品化最成熟的一类，业内亦称 AI 安全护栏、LLM-WAF、Model Application Firewall（MAF）、Firewall for AI。

核心技术：

▪  流式内核 —— 逐 Token 流式检测与早停机制，命中即阻断，避免整段内容回流造成二次扩散；

▪  双向治理 —— 输入 + 输出双向治理，覆盖编码变形（Base64、字符插入、TokenBreak）与多轮引导等规避投放；

▪  动态脱敏 —— 行业化动态脱敏，在展示层与接口层同时生效；

▪  RAG 权限 —— RAG 越权治理采用“文件级 + chunk 级”双维权限、角色矩阵、相似度阈值、来源白名单与引用长度限制的联合策略，将最小可见单元细化到句子级。

▪  代表产品（国内）—— 国内：绿盟大模型安全围栏 、启明星辰大模型应用防火墙 MAF、阿里云 AI 安全护栏、腾讯云 WAF 大模型安全、华为云 ModelArts Guard、火山引擎大模型应用防火墙、网易易盾、360 大模型安全卫士。

▪  代表产品（国外）—— 国外：Akamai Firewall for AI、Cloudflare AI Gateway、Zscaler AI Guardrails（Zero Trust Exchange）、Lasso Security、Prompt Security。

3.3  第三类：AI 数据防泄露（AI-DLP）

定位与价值：解决“守不住”的问题。既要防止敏感数据被违规送入模型（输入端），也要防止模型违规生成或通过 RAG 拼接式泄露敏感数据（输出端）。

▪  技术要点 —— 对齐 OWASP LLM02；将身份证号、手机号、银行卡、就诊记录、涉密文档等识别能力行业化；策略需映射 PII/PHI/商密标签体系。

▪  难点 —— 关键在于“拼接式泄露”防护——攻击者通过多次低敏感度提问，拼接出完整的高敏感信息，单轮检测无法覆盖。

3.4  第四类：模型与供应链安全

定位与价值：解决“信不过”的问题。对模型、数据集、依赖组件进行完整性验证与安全扫描，覆盖模型后门/木马、对抗样本鲁棒性、模型水印溯源与模型窃取防护。

▪  代表产品 —— HiddenLayer HL Model Scanner、Protect AI Guardian、TrojAI、Hopper Security（AI-BOM）、Bosch AIShield AISpectra。

▪  供应链双刃剑 —— 开源生态的普及（Llama 系列及其 Llama Guard / LlamaFirewall / CyberSec Eval、Cisco Foundation-sec-8B）在提升防御能力的同时，也扩大了被研究者与攻击者利用的面。

3.5  第五类：智能体与工具治理（Agent Security）

定位与价值：解决“控不了”的问题，也是当前最新、最具不确定性的战场。核心是对自主智能体的身份、权限、工具调用与行为进行治理。

核心技术拆解：

▪  ① MCP 治理 —— MCP Server 管控 —— 对 Model Context Protocol 服务器做统一登记、来源验证、版本锁定与变更监控，防范工具投毒、Rug Pull（工具重定义）与名称仿冒。

▪  ② Skills 治理 —— 工具/技能生命周期 —— 覆盖工具的注册、审批、发布、灰度、下线与依赖审计。

▪  ③ 投毒防护 —— 工具投毒防护 —— 工具描述与元数据中的对抗指令，模型会读但人类用户难以察觉（Invariant Labs 2025 年 4 月首次公开披露）。

▪  ④ 边界控制 —— 能力边界与最小权限 —— 将工具调用绑定到发起身份与请求上下文，把策略检查前置到执行之前，而非依赖模型自我约束。

▪  ⑤ NHI 治理 —— 智能体身份（NHI）治理 —— 为每个智能体建立可验证身份、细粒度策略与持续行为监控，即“信任三角”。

▪  代表产品 —— Palo Alto Networks Prisma AIRS、Zenity、Oasis Security、Zero Networks、Delinea、Zscaler（A2A 通信治理）。

3.6  第六类：自动化红队与安全评测

定位与价值：解决“测不测”的问题。在模型/智能体上线前用对抗性手段“压力测试”，上线后持续回归验证。

▪  代表产品 —— Mindgard、Straiker、Noma Security、Protect AI Recon、蚂蚁“蚁鉴 2.0”（用生成式 AI 攻击生成式模型）、绿盟 AI-SCAN 评估体系。

▪  壁垒所在 —— 核心资产不是算法而是语料库——越狱提示词库的丰富度与对抗样本生成器的刁钻程度，直接决定产品敏锐度。这也是攻防实战数据的最高壁垒。

3.7  第七类：安全大模型与 AI 安全运营（AI for Security）

定位与价值：解决“效率低”的问题。用大模型重构安全运营中心（SOC），实现告警降噪、智能研判、事件调查、报告生成与编排自动化。

厂商	安全大模型 / 产品	核心技术底座	突出能力
绿盟科技	风云卫 / SecLLM	自研安全垂域大模型 + 攻防数据中台	智能降噪分诊、分钟级检测规则生成、威胁情报画像
奇安信	QAX-GPT 安全机器人	安全知识 + 产品数据 + 本地知识库的 LLM	告警关联智能体、溯源调查、SOAR 剧本生成
安恒信息	恒脑·安全垂域大模型	多源异构模型融合 + 智能体	数据分类分级效率提升 30 倍、零代码智能体创建
启明星辰	泰合安全大模型 / 安星智能体	分层架构 L0/L1/L2 + 多模型协同	自主规划任务执行、大模型应用安全“三件套”
深信服	SecurityGPT	自研垂直领域专家模型	流量未知威胁检测、钓鱼识别、事件闭环
阿里云	通义千问（安全场景）	通用大模型 + 云安全中心	告警收敛率 99.94%、跨云跨账号统一分析
腾讯云	混元（安全场景）	自研多模态大模型	EDR 告警研判、Web 攻击检测、提示词隐私保护
华为	盘古（安全场景）	行业大模型 + SecMaster	自动化 99% 威胁响应、8000+ 内置规则

表 3-1  国内代表性安全大模型对比（信息源于厂商公开资料，落地效果需 PoC 验证）

4  技术底座：支撑这些产品的关键技术

4.1  为什么传统安全技术在这里失效

深度学习安全模型的产品化，必须先理解一个架构事实：语言模型把“指令”和“数据”放在同一个通道处理。传统应用可以区分代码与用户输入，解析器能分辨命令与载荷；而 LLM 不能——它读到的任何文本，无论是系统提示、用户输入还是检索到的文档，都是候选指令。这一属性击穿了传统应用安全的多个假设。

▪  模型不可信 —— 输出是概率性的、可被操纵的，必须当作不可信输入处理。

▪  边界模糊 —— “程序”与“数据”之间没有明确边界，因此提示注入不存在干净、彻底的修复方案。

▪  代理放大 —— 当模型能调用工具、查询数据库、触发动作时，一次被操纵的响应即可造成真实世界的副作用。

▪  不可修补 —— 你无法把模型“打补丁”变可信，只能“约束”它。因此 LLM 安全本质上是纵深防御，而非单一控制点。

设计原则的转变 Security First 在 AI 场景下的具体含义是：把防御重心从“模型是否会做坏事”转移到“即使模型被攻破，它能造成多大破坏”。前者不可控，后者可通过权限、隔离、审批与监控体系精确控制。

4.2  六项关键技术

技术	工作原理	解决什么问题	当前成熟度
流式逐 Token 检测	在生成过程中逐 Token 判定，命中即早停阻断	避免整段违规内容回流造成二次扩散	高（已可产品化）
以模制模（LLM-as-Judge）	用小参数量安全模型实时审查大模型输入输出	解决关键词过滤无法应对“越狱黑话”的问题	中（存在系统性绕过风险）
语义与意图分析	从表层关键词转向对意图与上下文的理解	降低误杀率，识别伪装型恶意请求	中
会话级记忆与语义聚合	跨轮次维持会话向量记忆并检测渗透式攻击	识别“逐步诱导、换壳复读、角色切换”	中
最小可见单元权限	文件 + chunk 双维权限、角色/场景/敏感级三重校验	防范 RAG 越权与拼接式泄露	中高
行为基线与异常检测	建立智能体正常行为基线，检测意图偏差	填补 LOTA 等“合法流量攻击”的检测空白	低（最薄弱环节）

表 4-1  AI 安全核心技术能力矩阵

4.3  标准映射：把能力落到可核查指标

专业选型不应停留在功能清单层面，而应把产品能力映射到可核查的标准条款。建议的映射方式如下：

▪  OWASP 映射 —— 将提示注入、越权、数据泄露风险库对齐 OWASP LLM Top 10，转化为测试用例集在 CI 中运行。

▪  NIST 映射 —— 将会话与处置记录映射到 NIST AI RMF 的“测量—治理—文档”维度。

▪  国内法规映射 —— 将敏感级与分类分级映射到《数据安全法》《个人信息保护法》及 GB/T 43697-2024。

▪  ISO 映射 —— 将 AI 治理与生命周期控制映射到 ISO/IEC 42001 的可认证条款。

5  厂商阵营与能力对比

5.1  三大阵营的竞争逻辑

AI 安全市场的竞争者来自三个方向，各自的筹码与短板清晰可辨。

阵营	代表厂商	核心筹码	主要短板	典型打法
传统网安厂商	绿盟科技、奇安信、启明星辰、安恒信息	政企客户基数、合规护城河、深度参与国标起草	底层安全大模型能力部分依赖外部合作，对最新原生攻击响应偶有滞后	全栈布阵，以“合规 + 平台”占位，做总集
互联网大厂 / 云厂商	阿里云、腾讯云、蚂蚁集团、华为云、火山引擎	最真实的 AI 攻击样本库、充沛算力、云生态分发	方案与自家云深度绑定，对多云/本地化需求吸引力受限	把安全能力嵌入云基础设施，“开箱即用”锁客
AI 原生安全新锐	瑞莱智慧、保旺达、HiddenLayer、Protect AI、Noma	单点技术尖刀：深伪检测、模型鲁棒性、红队自动化	产品矩阵薄，难承接端到端需求，常被集成	以硬核技术破局，聚焦 AI 特有顽疾

表 5-1  AI 安全三大厂商阵营竞争格局（阵营特征为行业通用观察，不代表对具体厂商的评价）

5.2  能力覆盖对比矩阵

下图将 14 家国外代表厂商按 8 项核心能力进行覆盖度评估。需特别说明：本矩阵仅覆盖国外厂商，不列入国内厂商——国内厂商能力评价涉及商业敏感与口径差异，争议较大，本报告不作横向对比。矩阵本身也基于公开资料归纳，属于示意性评估，实际落地必须通过 PoC 与压测复核。

图 5-1  国外典型 AI 安全产品能力覆盖对比矩阵（● 原生强能力　○ 具备/部分　· 弱或未公开）

一个值得注意的结论：国外综合平台厂商（Palo Alto Networks、CrowdStrike、Microsoft、Zscaler 等）在“资产发现 + 运行时防护 + 数据防泄 + 身份治理 + 生态分发”的全栈覆盖上具备结构性优势；而专注型厂商在单点能力上更深——Protect AI 与 HiddenLayer 聚焦模型供应链安全与红队评测，Lasso 与 Prompt Security 聚焦网关围栏，Oasis Security 与 Astrix 聚焦非人类身份（NHI）治理。这解释了为什么企业端到端项目往往由综合平台厂商总集、专注型厂商被集成。

5.3  收费模式与商业结构

AI 安全的商业模式与产品形态高度耦合，呈现三层叠加结构，天然具备高复购率。

层级	交付形态	收费方式	复购逻辑
评估评测层	红队测试、模型安全评测、备案辅导	按次收费	跟随模型迭代节奏，模型发版越勤、订单越密
运行时防护层	安全围栏、AI网关、AI-DLP	按量/按订阅	嵌入工作流后替换成本高，续费黏性强
治理平台层	AI-SPM、合规平台、AI-BOM	按年订阅	与资产规模正相关，随 AI 部署扩张而增长

表 5-2  AI 安全产品的三层收费结构与复购逻辑

6  国内外差异：技术趋同，路径分化

一个常见误解是“国内 AI 安全落后于国外”。实际情况是：底层技术能力趋同，但需求结构、合规环境与生态格局的差异，导致产品形态与竞争路径显著分化。

图 6-1  AI 安全市场规模增长与中美驱动结构对比

6.1  六个维度的系统差异

维度	中国特点	欧美特点	差异根源
第一驱动力	合规备案，强制性强、路径清晰	云生态集成 + 模型能力自研	监管工具的性质不同：中国是强制备案，欧美以自愿框架为主
产品形态	一体化、私有化部署为主，强调本地化交付	SaaS 为主，云原生、按量计费	数据主权与部署环境差异；欧美 SaaS 交付占约 48%
合规认证	大模型备案、算法备案是商业化的“通行证”	ISO/IEC 42001 等可认证标准，第三方审计	可认证机制的有无，决定了服务市场的形态
竞争格局	传统网安巨头吃大盘，大厂云上切蛋糕，新锐硬刚深水区	综合平台厂商（PANW/CrowdStrike）优势明显，纯玩家差异化生存	客户结构与采购习惯差异
收费模式	备案辅导 + 评测 + 一体化项目，客单价高、周期长	订阅制与按量计费，ARPU 稳定、扩展性强	付费意愿与合规成本结构不同
技术焦点	内容安全、备案评测、AI 应用防火墙平移	AI-SPM、红队自动化、智能体身份治理（NHI）	风险优先级不同：国内重内容合规，欧美重运行时与供应链

表 6-1  国内外 AI 安全市场六维差异对比

6.2  两个被低估的差异点

差异点一：可认证标准造就了服务生态。ISO/IEC 42001 是可被第三方认证机构审计的标准，这意味着欧美市场天然存在一个成熟的“测评 + 认证 + 咨询”服务生态。中国的备案制度同样催生了服务生态，但形态更偏向“备案辅导 + 安全评测 + 合规整改”的项目制交付。两者都说明：在 AI 安全领域，服务收入可能先于产品收入到来。

差异点二：欧美更早面对智能体治理的“裸奔”现实。数据上，91% 的组织已使用 AI 智能体但仅 10% 有成熟的非人类身份管理策略，这一矛盾在欧美因 SaaS 与智能体普及更早而暴露更充分，因而催生了 Oasis Security、Zenity、Oasis 等专攻 NHI 与智能体观测的公司。中国市场的同类需求正在快速成形，但产品供给尚不充分——这是一个明确的机会窗口。

6.3  市场规模参考（多机构口径）

口径 / 机构	2025 年规模	预测值与年份	CAGR
全球 AI for Security（Grand View）	$25.4B（2024）	$93.8B（2030）	24.4%
全球 AI 网络安全（Mordor）	约 $30.9B	$86.3B（2030）	22.8%
生成式 AI 网络安全（多机构）	$8.65B	$35.5B（2031）	26.5%
智能体 AI 安全（MarketsandMarkets）	$1.65B（2026）	$13.52B（2032）	42.0%
中国 AI 安全（IDC 口径）	约 44 亿元	340 亿元（2030）	约 50%
中国网络安全 AI Agent 应用收入	—	593.5 亿元（2030）	106.5%

表 6-2  多家机构对 AI 安全市场的规模预测（口径不同、不宜直接横向相加）

数据使用提醒 上述数据来自不同研究机构，统计口径差异显著（有的含“用AI做安全”，有的只含“保护AI”），因此绝对数值不可直接横向比较，但增长方向的判断是一致的：AI 安全是网络安全行业中增速最高的细分。所有引用数据均标注了来源，便于读者复核。

7  尚未解决的核心问题

识别“已解决的”与“未解决的”，比罗列功能清单更有价值。以下六个问题，是当前 AI 安全领域公认的技术攻坚方向。

图 7-1  未解决问题与技术成熟度分布：左上象限（高风险·低成熟）为当前最紧迫的攻坚区

7.1  提示注入的根本性防御尚未成立

这是 AI 安全领域最根本的未解难题。原因不在于防护做得不够，而在于架构性缺陷——模型无法区分指令与数据。当前所有护栏方案都建立在“可被绕过的检测”之上。

实证证据：HiddenLayer 2025 年 11 月公布的 EchoGram 技术证明，仅需在恶意提示后追加极短的令牌序列（如 “=coffee”“oz”），即可让护栏模型将危险提示误判为安全。更关键的是，这些“翻转令牌”在不同护栏实现间具有可迁移性，说明问题源于训练数据集的结构性缺陷，而非模型规模。

同样的教训：OpenAI 于 2025 年 10 月发布的 Guardrails 框架，被研究证明可被基础提示注入完全绕过——其“同一模型、不同角色（Same Model, Different Hat）”设计存在根本弱点：当生成与评判使用同族模型时，攻击者可通过注入模板伪造评判元数据（如谎报置信度 0.675 低于阈值 0.6），使危险内容静默通过。

对企业的直接建议 不要把护栏当作唯一防线。所有防护都应以“纵深防御”为前提：独立于生成模型家族的验证层、工具最小权限、敏感操作强制人工审批、以及针对评判操纵的专项红队测试。若系统安全仅依赖“同一个模型审自己”，本质上等于没有防护。

7.2  误杀率与可用性的平衡（含新型 DoS 风险）

护栏越严格，误杀越多；越宽松，漏报越多。Palo Alto Networks 对三大云平台 1123 个提示的系统测试显示：对良性内容的误拦率从 0.1% 到 13.1% 不等，对恶意提示的输入过滤成功率仅 53%–92%。这个区间既说明防护效果差异巨大，也说明行业尚无统一基线。

一个被严重低估的风险：ACM 2025 年发表的研究证明，护栏的误报可被武器化为拒绝服务攻击。在 Llama Guard 3 上，仅需 30 个字符的白盒注入提示，即可让 97% 的正常用户请求被拒绝；在 ChatGPT 上，用 20 条样本做污染微调，可使模型普遍拒绝 78% 的用户请求。这意味着护栏本身已成为新的攻击面。

7.3  智能体的身份与权限治理（NHI）尚无成熟产品闭环

传统 IAM 为“人类”设计——人类认证一次，然后以人类的速度操作。它无法治理每分钟执行数千次操作、权限随任务动态变化的自主智能体。当前的核心缺口有三个：

▪  身份缺失 —— 多数组织未为智能体建立注册身份、明确归属与受治理的权限范围，导致智能体在安全视角下“不可见”。

▪  归因断裂 —— 当无身份的智能体执行越权操作时，日志能观测到“数据库被修改、API 被调用”，却无法归因到具体智能体、会话、任务或策略决策，事故溯源与合规报告均无法完成。

▪  权限滞留 —— 服务账号长期有效、跨环境共享，权限在上下文变化后仍未回收，形成“临时凭证信任债”。

7.4  MCP 与工具链供应链安全

2025 年，MCP 的安全问题从理论走向现实，且证据充分：

事件 / 漏洞	时间	性质与影响
postmark-mcp npm 后门	2025.09	首个野外确认的恶意 MCP 服务器，可静默外发已处理邮件
CVE-2025-6514	2025	CVSS 9.6，恶意 MCP 服务器可经客户端漏洞实现远程代码执行
Smithery 注册表路径穿越	2025	尽管服务器通过了提交筛查，仍暴露 3000+ 凭证
工具投毒（Invariant Labs 披露）	2025.04	对抗指令藏于工具描述与元数据，用户难以察觉
53% 的 MCP 服务器硬编码凭证	2025 调研	配置文件中明文凭证成为普遍现象

表 7-1  MCP 与工具链代表性安全事件（可溯源）

问题的结构性根源在于：MCP 服务器通常通过包管理器安装，未经过与其他生产依赖同等的安全审查，且可静默更新。更麻烦的是，MCP 反转了传统信任边界——智能体天然信任那些可能怀有恶意的 MCP 服务器环境。

7.5  检测盲区：当攻击流量就是合法业务流量

CSA 2026 年研究指出的 LOTA 攻击揭示了最棘手的检测困境：一个被攻陷的生产力智能体读邮件、访问文档、发消息——这些事件在日志里表现为三个例行的智能体操作，而非横向移动的三个阶段。没有恶意二进制、没有可利用的 CVE、没有异常认证事件，只有一串恰好服务于攻击者目标的授权 API 调用。传统 EDR 与 SIEM 规则对此完全失明。

▪  结论 —— 需要能对“意图与行为序列”而非“单个事件”进行推理的智能体行为监控。这是当前技术成熟度最低、但风险最高的环节。

7.6  合规的跨境协同缺位

全球 AI 治理普遍存在三大短板：无跨国安全信息互通机制，高危模型流通与跨境入侵事故信息割裂；责任追溯机制在全球范围内尚未对齐；面向高权限网络攻防智能体的重大安全事故强制披露制度在多数司法辖区仍缺失。中国现有规则以应用规范、备案检测、内容标识和风险处置为主，面向高权限智能体的实时运行日志留存与责任追溯机制仍有进一步细化空间。

8  后续发展方向

8.1  五个明确的技术演进方向

图 8-1  AI 安全技术能力演进时间线：从内容合规到自主式安全

方向一：从“规则拦截”走向“以模制模”，再到“意图理解”

关键词过滤在应对越狱黑话时形同虚设，因此行业转向用小参数量安全模型实时审查。但正如 EchoGram 所示，这条路自身的训练数据集缺陷可被系统性利用。下一阶段的关键是攻克“意图理解”——从表层模式匹配转向对请求真实意图与上下文一致性的建模，并通过多模型异构、独立验证层降低单点失效风险。

方向二：从“应用防护”走向“智能体运行时治理”

防护重心正从聊天机器人向自主智能体迁移。一个能自主调用工具的 Agent，风险敞口比聊天机器人高出几个量级，防护单价也随之提升。具体技术落点包括：工具调用与身份上下文的强绑定、策略前置于执行、任务级会话过期（而非服务账号的永久有效）、以及智能体行为基准线的建立。

方向三：从“单点产品”走向“一体化平台”

Gartner 已明确提出“企业应保持独立于任何单一 AI 模型或托管供应商”，同时预计会出现面向中小企业的“AI TRiSM as a Service”外包服务。行业共识是：AI 网关正在成为新的下一代防火墙（NGFW），AI-SPM 正在成为新的漏洞管理，智能体身份治理正在成为 IAM 的继任者。这意味着长期看，集成式的“AI 安全平台”将具备结构性优势。

方向四：从“人工驱动”走向“Agent 对抗 Agent”

当攻击方用 AI 智能体自动化发起钓鱼、漏洞利用与横向移动时，防守方必须用 Agent 对抗 Agent。这正是中国网络安全 AI Agent 应用收入增速高达 106.5%（预计 2030 年达 593.5 亿元，规模接近 AI 安全本身的两倍）背后的逻辑。安全运营正从“人工驱动”转向“智能体驱动”。

方向五：从“事后检测”走向“主动威慑与自动化修复”

Gartner 提出的“网络威慑（Cyber Deterrence）”主张改变攻击者行为而非仅响应告警，具体包括自动化移动目标防御、暴露面管理与攻击模拟、预测性威胁情报与高级欺骗。在 AI 语境下，这意味着 AI 系统将实时防护其他 AI 系统——即 AI-SPM 成熟曲线中的第三阶段：“自动化修复”。

8.2  给企业建设者的五点建议

▪  建议一 —— 先解决“看得见”，再解决“防得住”。没有 AI 资产台账与数据映射，任何防护策略都缺少决策依据。建议优先落地 AI-SPM 能力。

▪  建议二 —— 把 AI 安全纳入现有安全运营体系，而非另起炉灶。选择能与现有 SIEM/风控/堡垒机/审计系统平滑对接的方案，避免形成新的信息孤岛。

▪  建议三 —— 以“最小代理”为核心原则重构智能体设计。只授予完成安全、有界任务所需的最小自主性；敏感或不可逆操作强制人工审批。

▪  建议四 —— 把 MCP 服务器纳入供应链安全管理。同其他第三方依赖一样，进行来源固定、版本锁定、变更监控与周期性审计。

▪  建议五 —— 用小场景、小步快跑的迭代方式验证效果，并建立可复核的指标体系。要求方案方明示 P95/P99 延迟、并发阈值、误杀率与退化策略，而非只提供笼统的“毫秒级”“高准确率”。

关于选型的最后提醒 AI 安全市场仍处于“乱纪元”，技术迭代以周为单位。选型时与其追求“功能最全”，不如评估三点：厂商对新型攻击的响应速度、其攻防语料库的积累深度、以及方案是否保持对模型/云厂商的独立性。在 AI 安全赛道上，起跑线的优势远不如进化的速度重要。

9  结论

9.1  三个判断

判断一：AI 安全已完成从“概念”到“预算”的跨越。驱动力来自两端——风险端，80% 的企业已遭遇智能体越权；合规端，备案与标识已成为强制性要求。这门生意第一次有了明确的付款人和清晰的收费结构。

判断二：竞争焦点正在从“模型层”向“智能体层”迁移。OWASP 2026 智能体清单中，ASI07（智能体间通信）、ASI08（级联失效）、ASI10（失控智能体）三项在 LLM 清单中没有任何对应项——这正是“新的测试工作”所在，也是下一代产品的差异化战场。

判断三：国内厂商存在结构性机会窗口。中国以合规与本土化交付为第一驱动，传统厂商在政企市场的总集优势短期内难以撼动；但智能体身份治理（NHI）、MCP 供应链安全、智能体行为基线这三个方向，国内外产品供给都尚不充分，是明确的切入机会。

9.2  一个终局视角

防守者在这个领域没有终点。AI 的迭代速度以周计算，今天有效的护栏明天可能被新的变形绕过，今天的领跑者如果无法应对多模态伪造或智能体权限滥用，随时可能被掀翻。真正的护城河不在于某一项检测技术的领先，而在于攻防数据的积累速度、对新型威胁的响应机制，以及把安全能力嵌入客户工作流的深度。

用一句行业共识收尾：在这个领域，防守者唯一的归宿，是比攻击者跑得更快。

附录  引用来源与数据说明

本报告遵循可溯源原则，所有关键数据均标注来源。对于无法溯源的数据，已在正文中作虚化处理或标注为示意性评级。

A.1  标准与框架

▪  OWASP Top 10 for LLM Applications 2025（v2.0，2024年11月18日发布，OWASP GenAI Security Project）

▪  OWASP Top 10 for Agentic Applications 2026（2025年12月9日发布，Black Hat Europe 2025 公布，100+ 专家评审）

▪  NIST AI Risk Management Framework 1.0（2023年1月26日）

▪  Gartner《Market Guide for AI Trust, Risk and Security Management》(2025年2月18日)

▪  ISO/IEC 42001（可认证）、ISO/IEC 23894:2023（AI 风险管理）

▪  GB 45438-2025《网络安全技术 人工智能生成合成内容标识方法》（强制性，2025年9月1日实施）

▪  GB/T 45654-2025《网络安全技术 生成式人工智能服务安全基本要求》（2025年11月1日实施）

▪  GB/T 45652-2025《生成式人工智能预训练和优化训练数据安全规范》

▪  《生成式人工智能服务管理暂行办法》《人工智能生成合成内容标识办法》

▪  欧盟《人工智能法案》(EU AI Act)

A.2  市场数据来源

▪  Grand View Research：AI for Security 市场规模（2024 年 $25.4B，2030 年 $93.8B）

▪  Fortune Business Insights：2025 年 $34.1B，2034 年 $213.2B

▪  Precedence Research：2025 年 $29.6B，2035 年 $167.8B

▪  Mordor Intelligence：2025 年约 $30.9B，2030 年 $86.3B，CAGR 22.8%

▪  MarketsandMarkets：智能体 AI 安全 2026 年 $1.65B，2032 年 $135.2B，CAGR 42.0%

▪  IDC：中国 AI 安全 2025 年约 44.1 亿元，2030 年 340.3 亿元

▪  Dataintelo：生成式 AI 安全 2025 年 $8.4B，2034 年 $62.3B

A.3  技术研究与事件来源

▪  HiddenLayer EchoGram 研究（2025年11月）：护栏翻转令牌绕过技术

▪  HiddenLayer 对 OpenAI Guardrails 框架的绕过研究（2025年10月）

▪  Palo Alto Networks 云平台护栏有效性研究（1123 个提示样本）

▪  ACM Workshop 2025《LLM Safeguard is a Double-Edged Sword》：护栏误报的 DoS 攻击

▪  Invariant Labs 工具投毒披露（2025年4月）

▪  CSA Research Note《Living Off the Agent》(2026年5月)

▪  Okta《AI at Work 2025》、Cisco《State of AI Security 2026》、Gravitee 2026 调研

▪  CVE-2025-6514（MCP 客户端 RCE，CVSS 9.6）

A.4  说明

① 本报告为厂商中立、行业通用视角的技术研究，不针对任何特定厂商作推荐或背书。

② 厂商能力矩阵（图 5-1）仅覆盖国外代表厂商，国内厂商因能力评价涉及商业敏感与口径差异、争议较大，本报告不列入横向对比。矩阵与象限图均为基于公开资料的示意性归纳，实际能力应以 PoC 测试、压测数据与商业 SLA 文档为准。

③ 市场预测数据来自不同研究机构，统计口径存在差异，绝对数值不宜直接横向比较。

④ 报告中的图表为原创绘制，配色遵循绿盟品牌淡绿色调；威胁热度指数与气泡位置为综合公开信息的示意性评级。

---