甲方安全预算正在换口袋

原创

青藤AI观察室
青藤AI观察室

青藤云安全

2026年11月3日 18:00
北京

去阅读

目录

一、100 个 CISO 的投票

二、预算没有消失

三、一个悖论

四、供给侧证据

五、未来 12 个月的采购窗口

六、中国语境的换算

七、甲方的三个行动框架

7.1 框架一：预算怎么切

7.2 框架二：厂商怎么验

7.3 框架三：指标怎么定

2026年10月28日，a16z发布对100位美国千人以上企业CISO的年度调研《The New Security Agenda》：87%预计2027年安全预算继续增长，49%把用AI改造SOC\"列为前五优先级，而曾经的第一梯队SIEM只剩17%。

这份调研值得每个中国CISO认真读一遍——不是因为别人的故事热闹，而是因为这是一场免费的预演：中国企业的AI采用曲线晚一到两年，美国CISO今天投的票，大概率就是中国甲方明年预算会上的议题。

当然，国内外企业预算机制与合规环境不同，因此看法必须换算，这正是本文要做的事。此外本文回答另外三个更值钱的问题：

• 钱正在从哪些口袋流向哪些口袋；

• 为什么 AI 越强、安全团队反而越忙；

• CISO 嘴上要的与手上在做的差距，如何换算成未来 12 个月的采购地图。

Part 01**

100 个 CISO 的投票

a16z 发布《The New Security Agenda》，调研对象是 100 位员工规模千人以上企业的 CISO 或安全负责人。

这个样本有两个特点值得强调：

其一，受访者是真正握着预算签字权的一百个人——他们回答\"明年钱花在哪\"，本质上是在提前披露自己的采购意向书；

其二，100 这个量级不足以做精细的统计推断，但足以呈现头部企业的集体方向感。

三个数字值得放在所有安全负责人面前

第一，87% 预计 2027 年安全支出继续增加，12% 持平，只有 1% 预计减少。 理由高度一致地收敛为两条：

• AI 带来了新威胁；
• 同时企业部署 AI 越深、需要保护的系统就越多。

这两条都是结构性逻辑而非周期性情绪——它们不会因为宏观预算收紧而反转，因为威胁面扩张和资产面扩张都不以 CISO 的意志为转移。

同时，Gartner 预测 2026 年全球终端用户信息安全支出达 2442 亿美元，同比增长 13.3%。调研结论与大盘同向，交叉验证成立。

第二，46% 的 CISO 预计团队人数增加，50% 持平，仅 4% 预计裁员。 在一个\"AI 正在接管编码类任务\"成为行业共识的年份，安全团队不裁反扩。

第三，新增支出的绝大部分流向 AI 工具采购。安全行业的资本开支正在从\"采集与存贮\"（日志、流量等的规模扩张）转向\"推理与执行\"（让机器理解告警、生成修复、验证闭环）。

前者是过去十五年的主叙事，后者才刚刚开场。 a16z 在文中记录了两个发生在调研发布前后的标志性事件作为时代注脚：

2026年夏

OpenAI 的 Agent 在一次网络安全评测中\"越狱\"，自主串起漏洞利用、凭据窃取与横向移动，最终侵入 Hugging Face 的生产系统；

2026年10月下旬

OpenAI 的\"Patch the Planet\"计划协助研究者发现一个存在于 PHP（该技术驱动全球约 70% 网站）超过十年、无需登录即可远程执行的严重漏洞。

图1：2027 年安全预算优先级 Top10——前六名全部与 AI 相关（据 a16z《The New Security Agenda》数据绘制）

这100 位 CISO 的匿名投票没有动机为某家厂商站台，且\"进前五\"与\"列为第一\"的双口径设计，恰好区分了\"共识\"与\"押注\"：一个事项进前五的比例高，说明它是公共议题；列为第一的比例高，才说明有人愿意为它让渡别的预算。

这份调研对中国读者的价值，可以用一句话说清：它是领先指标，不是他乡故事——当领先指标读，它是免费的预演；当他乡故事读，它就只是一份热闹。

其一，方向同构：中国企业的 AI 采用曲线整体晚于美国一到两年，但方向一致——编码 Agent 进生产、MCP 集成、影子 AI 泛滥，国内正在发生的，与美国一两年前发生的是同一条曲线的不同位置；

其二，威胁无国界：后文会讲到的 agentic 勒索行动和 80 美元一次的机器攻击链，不会因为目标在境内就绕道；

其三，也是最重要的限定：预算决策机制不同——美国 CISO 的预算由威胁态势与董事会预期驱动，中国甲方的预算有合规刚性打底，驱动轮不一样，读法就不能照抄，必须换算。

Part 02**

预算没有消失

把调研中\"2027 年前五优先级\"的十项数据摆在一起，一条清晰的分界线浮现出来：

前十项里六项带\"AI\"，且前六名恰好全是 AI。

而 2026 年同一调研中还坐在头把交椅上的暴露面/漏洞管理与 SIEM，如今跌到 17% 和 16%——一年时间，榜首与榜尾完成了一次对调。

最刺眼的是 AI 代码安全：2026 年约 25% 的 CISO 将其列入前五，2027 年是 48%，近乎翻倍。

驱动力毫不神秘：83% 的企业已经把编码助手或编码 Agent 跑在生产环境，代码的生产速度整体上移了一个台阶，代码安全的旧产能却没有。

这个判断在国内已经有了生产级的注脚：青藤云安全新发布的「智鉴」AI 代码审计系统，近日在某头部大模型公司的核心业务系统完成交付——一周审出 63 个高危漏洞，客户随即将其接入自己的 CI/CD，按版本持续重审，至今仍在跑。48% 的投票曲线，落在国内不是 PPT，而是已经验收过的生产线。

我们给这个结构起一个名字：CISO 的预算正在分裂成三个钱包。

第一个钱包，用 AI 改造存量安全工作：AI SOC（49%）、AI 代码安全（48%）、AI 漏洞修复（47%）、AI 进攻性安全（39%）。这是效率钱包，目标是把过去\"排队等分析师\"的工作交给机器。它的特点是需求真实、见效快，但也最容易被供应商的愿景叙事包装出泡沫。

第二个钱包，治理企业内部正在野蛮生长的 AI 资产：内部 AI Agent 安全（44%）、AI 使用与治理（43%）。这是新边界钱包。它保护的对象——Agent 身份、MCP 连接、提示词通道——在两年前还不存在于任何一张资产台账上。

第三个钱包，防御 AI 原生威胁：AI 原生端点防护、AI GRC 与供应商风险。这个钱包目前最小，但增速与不确定性的乘积最大，性质上更接近期权而非预算。

图2：CISO 预算的\"三个钱包\"框架（据 a16z 调研数据框架化整理）

CISO 向 CFO 和老板解释预算时，最难的从来不是论证\"为什么要花钱\"，而是解释\"为什么今年花的钱和去年不一样\"。

\"三个钱包\"提供了一个董事会听得懂的故事，效率、边界、期权，这是财务语言而不是安全黑话，预算通过率会因此不同。

• 第一笔钱让现有团队更便宜地干活（效率）
• 第二笔钱管住公司正在引入的新员工——只不过这些\"员工\"是 Agent（边界）
• 第三笔钱对冲一种单价 80 美元的新型攻击者（期权）。

这里需要特别说明下，地基的运维预算一分不能砍，遥测质量、日志完整性、资产可见性恰恰是所有 AI 工具的原料——原料不纯，上游再贵的模型也只能产出精致的垃圾。被挤出第一梯队的是\"继续堆地基\"的冲动，不是地基本身。

中国读法： 国内甲方同样在换口袋，只是口袋的底子不同——等保、密评等合规刚性科目不会动，换口袋发生在合规地板之上的弹性空间里。大模型驱动的安全运营、智能分诊，已是过去两年国内厂商与头部甲方共建最密集的方向之一；美国样本里 49% 的投票，大概率会以晚一到两年、同样陡峭的曲线在国内预算会上重演。

Part 03**

一个悖论

现在回答第一章留下的问题：为什么\"AI 接管工作\"的年代，46% 的 CISO 反而要加人、只有 4% 准备裁员？

19 世纪，蒸汽机热效率的提升没有减少煤炭消耗，反而让煤烧得更多：效率提升降低了使用成本，成本降低释放了被压抑的需求，总消耗不降反升。

安全行业的 2027 年正在逐环重演这一幕。我们把调研和供给侧数据拼成完整的循环：

第一环，发现成本趋零。AI 把漏洞发现、告警分诊、代码审查的边际成本压到地板——前面提过，机器处置单个漏洞的成本已到 152 美元、45 分钟的量级。

第二环，供给爆炸。 成本下降直接带来产出洪峰。Epoch AI 的追踪显示，21 家重要软件机构披露的高危 CVE 月度数量正逼近 1200 个、严重级近 400 个，2026 年曲线陡峭上扬。Anthropic 红队今年用前沿模型成批发现 500 余个高危 0-day——尽管写出可用 exploit 对模型仍然困难，但\"发现\"这一端的堰塞湖已经形成。

第三环，瓶颈顺流下移。 当\"发现\"不再是瓶颈，瓶颈就顺着价值链向下游迁移——分诊、验证、修复、决策，每一环都卡在人和流程上。开源世界已经预演过一次：curl 项目被 AI 生成的低质量漏洞报告淹没，确认率从 15% 一路跌破 5%，项目方被迫在 2026 年初关停赏金计划，靠重建提交流程才把质量拉回正轨。瓶颈从来不在发现端，在吸收端。

第四环，人的角色上移。 a16z 的调研解释加人理由时说得直白：不是为了做更多旧工作，而是为了处理原本排队等待的告警、测试更多应用、更早修复漏洞。机器负责发现，人负责判断；机器负责生成，人负责审批。安全团队的编制没有缩减，岗位职责整体上移了一层。 这对招聘的含义同样直接：未来缺口最大的不是\"会写规则的人\"，而是\"能审机器产出、能为决策签字负责的人\"。

悖论还有一层组织设计上的推论，值得在编制规划时就想清楚：如果初级分析师的工作（看告警、跑扫描、整理报告）被机器接管，那么\"资深专家从哪来\"就成了真问题——资深是从初级的重复劳动里长出来的。杰文斯悖论在编制上的正确解法不是\"加人\"，而是\"改梯\"：压缩初级执行岗，把省下的编制换成少数高阶评审岗，同时给初级岗设计新的成长路径——从\"执行机器流程\"改为\"审计机器产出\"。

另外要给悖论本身加一个对冲：这个循环成立的前提是\"机器产出需要人签字\"——XBOW 的流水线里保留提交前人工审核，恰恰说明当前能力条件下签字环节不可省。哪天验证也能被机器闭环，悖论才会进入下一阶段；在那之前，审批者的供给就是整个安全体系的吞吐上限。

图3：安全行业的杰文斯悖论循环——效率提升带来需求扩张（本文框架示意图）

一位金融科技公司 CISO 在调研访谈中留下了全场最准的一句话：\"You're able to find vulnerabilities faster, but you're not able to patch faster.\"（你找漏洞更快了，但修漏洞并没有更快。）这不是抱怨，是预算指南：凡是不解决吸收端的 AI 投资，都是在给堰塞湖上游加水。

这也是我们把 AI 漏洞修复排在 AI SOC 之前作为\"含金量第一\"的深层原因——前者疏通瓶颈，后者如果设计不当，只是在瓶颈前堆更多待办。

这个悖论对中国甲方的摩擦更大：国内安全人才市场的结构性缺口比美国更深，\"改梯\"——压缩初级执行岗、置换高阶评审岗——在招聘端做起来更慢。但硬币的反面是机会：谁先把\"审计机器产出\"这条新的初级岗成长路径设计出来，谁就在下一轮安全人才争夺里占了先手。

Part 04**

供给侧证据

判断\"防 AI 的钱\"该放多少，需要一把可靠的能力标尺，而不是厂商 PPT。目前最严谨的一把尺子来自英国 AI Security Institute（AISI）2026 年 3 月发布的网络靶场评测\"The Last Ones\"。

靶场是一条 32 步的企业网攻击链，覆盖侦察、横向移动、凭据窃取、逆向、C2、CI/CD 供应链投毒到数据外泄共 9 个里程碑。

人类专家打完全程需要 14 到 20 小时。AISI 用同一把尺子逐年测量前沿模型，得到一条不容忽视的代际曲线（10M token 预算下的平均完成步数）：GPT-4o（2024 年 8 月）只走 1.7 步；Sonnet 3.7 走到 5.8；Opus 4.5 到 7.6；GPT-5.1 Codex 到 8.0；2026 年 2 月的 Opus 4.6 平均 9.8 步，把 token 预算加到 100M 时平均推进 15.6 步、最佳单次 22 步。

2026 年 4 月，Claude Mythos Preview 成为首个全程通关的模型：10 次尝试中 3 次完成全部 32 步，平均推进 22 步。约一个月后，AISI 测得 GPT-5.5 达到可比水平（专家级任务得分 71.4% 对 68.6%）。

这个细节比\"某模型通关\"本身重要得多：抬升的是整个前沿面，不是某一家实验室的单点突破。任何押注\"某模型做不到\"的防御假设，保质期以月计。

成本端同样冷峻：100M token 的一次完整攻击链推演，按当时定价约 80 美元——一次人类专家 14 到 20 小时的渗透推演，机器成本不到一顿商务宴请。

攻防经济学里\"攻击必须盈利\"的旧约束，正在这类单价面前失效。另有一个容易被略过的读数：同一模型在 10M 与 100M token 预算下的表现差异（9.8 步对 15.6 步）说明，这条能力曲线对\"预算\"敏感——对手多烧几倍 token，换来的不是线性而是台阶式的深入。防御规划应按\"对手不差钱\"的那一档能力来设防，而不是按平均水平。

图4：AISI「The Last Ones」AI 自主攻击能力代际曲线（据 AISI 博客与 arXiv:2603.11214 数据绘制）

但 AISI 自己写明的限定条件，引用者必须一并引用，否则就是误读：

• 其一，靶场里没有主动防御者——系统记录模型的被检测行为但不拦截，真实环境中防守方会反击、会改密、会隔离；
• 其二，单步难度不均，步数不是线性进度——第 4 个里程碑的 NTLM relay（需要实时协调多进程）曾卡住所有模型，被 Opus 4.6 稳定突破后才一路直通第 6 个里程碑，说明瓶颈可能出现在链条的任何一处；
• 其三，评测不含目标选择、持久化对抗和攻击基础设施搭建，离真实攻击行动仍有距离。 此外，在 7 步的工控靶场 Cooling Tower 上，最强模型平均只完成 1.4 步（最佳 3 步）——OT 环境暂时仍有喘息期，但\"暂时\"两个字值多少钱，取决于对手的迭代速度而不是你的。

供给侧的结论可以写得很克制：机器在 IT 网络中完成专家级攻击链的能力，已经从\"演示级\"进入\"可复现级\"，且单价低于一次商务宴请。

这条曲线对防御规划有一个可操作的推论：当攻击链的机器成本降到 80 美元量级，\"我的资产值不值得被攻击\"这个问题就被取消了——攻击者不再需要做成本收益筛选，广撒网的边际成本趋近于零。

防御方对应的对策不是预测对手会打哪里，而是假设任何暴露面都会被便宜地、不知疲倦地试探，然后把投资集中到\"被打之后\"的环节：检测窗口、驻留时间、横向阻断。 防线从\"挡住\"转向\"尽快发现、尽快切断\"，这正是预算从静态防护向持续验证和运行时遥测迁移的供给侧原因。靶场里的曲线每抬升一格，留给防守方的驻留时间预算就应该收紧一分——这是为数不多的、能把前沿模型进展直接换算成内部安全指标的通道。

对中国读者，这条曲线要再叠两层读：

其一，AISI 测的是国外前沿模型，国内头部大模型的攻防能力曲线方向相同、时差有限，用\"国外模型还没打到这\"来安慰自己，保质期同样以月计；

其二，OT 靶场上那段\"喘息期\"的判断，对国内关基运营者不仅成立而且更值钱——关基场景的攻击后果与监管问责都更重，喘息期是用来加固的，不是用来庆幸的。

Part 05**

未来 12 个月的采购窗口

调研里最有商业价值的不是\"想要什么\"，而是\"想要\"与\"在做\"之间的距离。Matt 的交叉拆解把这道落差算得很清楚：

落差一：测试频率。 83% 的 CISO 认为更高频的安全测试重要（其中 54% 认为\"非常重要\"），但目前只有 18% 的企业对生产环境持续做进攻性测试。中间的 65 个百分点怎么填？52% 预计一年内实现持续测试，44% 预计五年内把测试内嵌进 CI/CD。意愿与现状之间的缺口，就是未来 12 个月最确定的订单。

落差二：修复验证。 70% 的 CISO 要求每个修复都被复测验证，67% 要求按\"已验证可利用性\"排修复优先级，57% 要求自动生成修复工单——但目前只有 13% 的企业有 AI 进攻/修复工具真正跑在生产环境。注意这三条要求合在一起的含义：甲方要的不是\"发现更多\"，而是\"闭环证明\"。 这会直接改写验收标准——从\"报了多少漏洞\"转向\"证明修好了多少\"，第九章细讲怎么把它写进合同。

落差三：信任曲线。 目前 36% 的企业允许 Agent 自主处理低风险任务，一年内预计达到 60%。信任不是线性增长的：它随每一次成功的低风险授权而累积，也会因一次事故清零重来。对厂商，这意味着产品必须自带\"低风险任务的证明机制\"——可解释、可审计、可回滚；对甲方，这意味着授权策略应当分级，先给 Agent 挣信任的赛道，再按通过率逐级放权。

图5：CISO\"想要的\"与\"在做的\"落差（据 a16z 调研与 matt.security 二次分析绘制）

采购路径的数据则告诉厂商和甲方各自该在哪里相遇：44% 的 CISO 采购时先看现有安全平台的新功能，只有 21% 会先找 AI 原生创业公司——但 47% 认为\"补上现有平台补不了的空白\"正是选创业公司的首要理由。

图6：CISO 的三条采购路径与甲方动作（据 a16z 调研数据绘制）

这三组数字合起来是一张机会地图。存量平台的 AI 功能会吃掉最容易的那部分预算——因为在续约谈判桌上它们就已经在场；AI 原生厂商的钱藏在\"平台做不到\"的空白里：持续进攻性测试、修复闭环验证、Agent 运行时治理。 对甲方，这张地图的读法有三层：先看平台能不能覆盖，覆盖成本是多少；覆盖不了的空白，不要等平台 roadmap，用专业厂商补上；最重要的是，\"空白\"的定义权要握在自己手里——一旦你让平台厂商替你定义空白，你的采购清单就被写好了。

落差还有一个时间维度常被忽略：落差存在期，正是买方议价能力最强的窗口。 18% 的现状意味着绝大多数买家还没进场，厂商需要的是标杆案例而非利润，此时谈 POC、谈定制、谈复测条款，条件最宽松；一旦 52% 的\"一年内实现持续测试\"兑现为真实采购，市场从买方窗口切换到卖方窗口，同样的条款就要用溢价来换。36%→60% 的信任曲线同理——在多数同行还在观望时完成低风险授权的分级体系，等到 60% 那天，你的组织已经积累了别人刚开始积累的信任资产。落差是未来的采购窗口，也是当下的谈判筹码；读落差图的正确姿势不是等它弥合，而是趁它存在时进场。

最后把落差图与三个钱包叠在一起看，结论会更锋利：落差一（持续测试）和落差二（修复闭环）落在钱包一与钱包三的交界处，落差三（Agent 信任）落在钱包二——三道落差恰好覆盖了三个钱包各自的\"最想买但还没买到\"清单。 换言之，这道落差图就是三个钱包的采购明细表：钱包一买闭环验证，钱包二买分级授权体系，钱包三买持续进攻性测试。预算会上每一笔钱对应的不是厂商的品类名，而是落差图上的一段距离——钱花出去，距离应该缩短，这是比任何 ROI 模型都诚实的验收方式。

这道落差图对中国买方的含义更直接：国内\"想要\"与\"在做\"之间的距离普遍比美国样本更大，意味着买方议价窗口更长、条件更宽松。但窗口长不等于可以等——国内常态化攻防演练机制已经把\"持续验证\"变成了准刚性要求，落差一在国内的弥合速度可能快于美国；等到弥合临近再进场，谈判桌上剩下的就只有溢价。先动手的甲方，拿到的既是能力，也是筹码。

Part 06**

中国语境的换算

前面五章把中国视角散点嵌入每个结论；这一章把\"换算\"一次做透。a16z 的样本是美国千人以上企业的 CISO。把结论搬进中国企业的预算会之前，必须先做换算——不是简单打个折扣，而是结构性校正。四重换算，逐层说明。

第一重：预算的驱动轮不同。 美国样本的预算弹性大，由威胁态势与董事会预期驱动，所以\"87% 加预算\"是进攻性扩张。中国甲方的预算底色是合规刚性：等保 2.0 定级备案与测评、商用密码应用安全性评估（密评）、关键信息基础设施保护要求，构成预算的\"地板\"——这部分钱不会因 AI 叙事而增减，它永远在账上，且验收节点明确。AI 预算在中国不是从 SIEM 口袋里抢出来的，而是从合规地板之上的弹性空间里长出来的。 落点判断：三个钱包的框架在中国同样成立，但注资顺序是合规先行、弹性补充；弹性空间的大小，因行业而异——金融、运营商弹性最大，政企次之。

第二重：数据类法规提前把\"管 AI 的钱\"变成了必答题。 《数据安全法》《个人信息保护法》及配套的数据分类分级要求，使\"员工向 AI 工具泄漏敏感数据\"（美国样本中 47% 的首要担忧）在中国语境下直接对应法律责任与监管问责，而非仅是风险敞口。美国企业买 Agent 治理是为了风险，中国企业买它还为了合规——钱包二在中国的支付意愿只会更强，验收标准只会更硬。 生成式人工智能相关管理要求落地后，\"用了什么模型、数据去了哪里\"本身就是需要留痕备查的问题，这进一步抬高了 Agent 治理的优先级。

第三重：采购行为差异。美国样本里 44% 先看平台新功能；中国企业对安全 Agent 类产品的典型路径是先入 POC 环境跑数据——分诊准确率、误报率、与现有工单和 IM 系统的对接成本，跑不出真实数据不进生产，\"先看疗效再付钱\"是普遍心态。私有化部署与本地化交付是金融、政务、能源等行业的硬性前置条件，纯 SaaS 形态的 AI 安全产品在这些行业天然受限；涉及敏感数据的场景，模型出域更是红线。

此外，信创环境意味着 CPU 架构、操作系统、数据库的异构组合：任何号称\"AI 原生\"的安全产品，进场考的第一门课不是模型能力，而是对国产化环境的适配深度——芯片、操作系统、数据库、中间件，每一层都有多个技术路线并存，Agent 探针的兼容成本远高于 x86 同质环境。 过不了适配关，基准分数再高也没有谈判席位。还需要说明：本文只描述合规环境对采购行为的客观影响，不对任何一方的监管立场作价值判断，相关政策以官方发布文本为准。

第四重：样本折扣。 这 100 个答案反映的是美国大型企业在 AI 应用渗透极深之后的\"防御性补课\"。中国企业的 AI 应用渗透曲线总体滞后半年到一年半，这意味着两件事：其一，本文的优先级排序对中国读者是\"预演\"而非\"镜像\"——可以提前布局，少走美国同行的弯路，比如直接跳过\"先堆发现再治堰塞湖\"的阶段；其二，部分渗透率数据（如 55% 的 MCP 生产渗透）在国内大概率更低，但方向一致——正因为渗透率低，Agent 治理才存在窗口期。等渗透率追平再采购，就只剩高价与被动。 另有一处结构差异值得单独留意：国内常态化攻防演练机制使\"持续验证\"类能力有更现成的预算科目可挂靠，落差一（83% 对 18%）在国内的弥合路径可能比美国更短。

这 100 个美国 CISO 的投票，对中国甲方不是镜像，而是预告片——三个钱包的结构会到来，杰文斯悖论会到来，落差窗口也会到来，差别只在注资顺序、合规权重和时间差。

读对了，这是用别人的学费买自己的先手：提前一到两年知道口袋要往哪换，就能在品类成形、价格未涨、厂商还愿意陪你跑 POC 的时候进场。读错了——照抄优先级、忽略合规地板、迷信渗透率数字——就是把别人的地图当自己的疆土。换算，是这份国外调研对中国读者唯一有价值的打开方式；下一章的三个行动框架，按换算后的语境写成。

Part 07**

甲方的三个行动框架

01

框架一：预算怎么切

建议按增量预算计，合规刚性部分单列不动：

（1）用 AI 改造存量安全工作占 50–55%，其中 AI 漏洞修复与 AI 代码安全的优先级应高于 AI SOC——前者疏通瓶颈，后者若设计不当只是在瓶颈前堆量；

（2）治理企业内部正在野蛮生长的 AI 资产占 25–30%，Agent 运行时治理与数据泄漏防护优先于文档化的\"AI 治理框架\"，先管住生产环境里已经跑着的 55%，再谈制度上墙；

（3）防御 AI 原生威胁占 15–20%，以期权心态配置：持续进攻性测试、AI 原生威胁情报，买的是对陡增曲线的对冲，接受它的当期 ROI 不好看。

存量品类的运维预算不动，但增量预算不应再流向 SIEM 扩容式的惯性投入——17% 的优先级数据已经替你做了这个判断。

比例是起点而非教条：Agent 渗透深的行业（互联网、金融科技）应上调钱包二；关基与 OT 占比高的行业，可把钱包三的部分期权换成对工控纵深防御的加固——AISI 的数据显示 OT 还有喘息期，喘息期就是用来加固的。

02

框架二：厂商怎么验

（1）复测权利条款：对照 70% CISO 的要求，合同中约定甲方有权对厂商报告的\"已修复\"项进行独立复测，复测不通过的计费与罚则要写清楚——闭环的承诺必须用闭环的方式验收。

（2）基准测试防注水：CTFusion 的研究已经证明，CTF 类基准的训练数据污染可使模型成绩虚高约 2 倍。凡是以公开基准分数做卖点的产品，要求用甲方私有数据集重测，成绩以重测为准；拒绝重测的厂商，等于自认分数有水分。

（3）效果归因：对照微软那篇随机对照实验的设计——真阳性吞吐提升 6.5 倍、准确率 +77% 是拿 RCT 量出来的——要求厂商在你的环境、你的数据上设置对照期，AI 工具上线前后同口径对比，不接受\"行业平均值\"或\"其他客户案例\"作为验收依据。

03

框架三：指标怎么定

旧指标体系（告警数、规则覆盖率、漏洞扫描数）衡量的是发现端产能，在 AI 时代会集体通胀——机器可以让这些数字无限好看，同时让安全水平原地踏步。新指标体系应对齐吸收端：

（1）修复时长，从\"确认可利用\"到\"修复并复测通过\"的端到端时长，而非模糊的 MTTR；

（2）修复覆盖率，高危漏洞在 SLA 内完成修复且通过复测的比例，直接对照 70% 的复测要求；

（3）Agent 通过率，AI 分诊与修复结果被人工抽检通过的比例——对照 36%→60% 的信任曲线，通过率决定授权半径，授权半径决定自动化能走多远。

告警量下降不是成绩，告警被正确终结才是。 这三项指标还有一个额外的好处：它们天然难以被注水，因为每一项都对应着可在攻防演练中被独立验证的事实，年底复盘时既骗不了自己也骗不了董事会。

最后说两句我们自己。三个钱包也好、落差图也好，所有新故事的物理底座都没变：AI 分诊再聪明，也要有高质量的主机层遥测，才能判断\"哪个漏洞真的在跑、哪个进程真的异常\"；持续验证再自动化，也要落到真实工作负载上的攻防演练与渗透测试能力。

青藤云安全这些年做的事——工作负载侧的实时遥测、以攻促防的持续验证——恰好是这个底座。新预算季的钱往哪里流，本文给了判断；流到你环境里之后能不能落地，欢迎来验。

钱包一里落地最快的品类，答卷也已经交出：「智鉴」AI 代码审计系统——多智能体审计链、持续运营的漏洞规则库、每条漏洞带调用路径与成立前提的实证验证，未确认的一律标\"未决\"，报告可直接与研发逐条核对；私有化部署、代码不出域，底层大模型可插拔，客户可接自己的 DeepSeek、GLM 等内网模型，未来模型升级无需更换产品；支持上传源码包，或接入 GitLab CI 按版本快照重审——审计从一次性项目变成持续运营。前文说的\"闭环证明\"，在这款产品里是出厂设置；第五章落差二里甲方最想要的\"修复验证\"，对应的正是这套设计。标杆已交付，窗口正当时。

参考文献

1、a16z，《The New Security Agenda》，2026-10-28，https://a16z.com/the-new-security-agenda/

2、Matt，二次分析《a16z CISO Survey: 2027 Security Priorities》，2026-10，https://matt.security/blog/a16z-ciso-survey-2027-security-priorities

3、Gartner 4Q25 全球信息安全支出预测（2025-12-18 更新）：2026 年预计 2442 亿美元，同比 +13.3%。

4、UK AI Security Institute，\"The Last Ones\" 网络靶场评测博客，2026-03-16，https://www.aisi.gov.uk/

5、AISI 技术报告，arXiv:2603.11214，2026-03-11，https://arxiv.org/abs/2603.11214

6、 AISI，Claude Mythos 与 GPT-5.5 评测更新，2026-04-13，https://www.aisi.gov.uk/

7、Anthropic 红队，《Zero-days》研究，2026-02，https://red.anthropic.com/2026/zero-days/

8、DARPA AIxCC 决赛结果，2025-08（5400 万行代码、七套系统全开源、单漏洞成本 $152+45min）。

9、XBOW，HackerOne 美国榜登顶披露，2025-06（90 天 1060 份报告，含提交前人工审核）。

10、Gartner，2026 年安全运营技术炒作周期（Hype Cycle）：AI SOC Agents 处期望顶峰，渗透率 1–5%。

11、CTFusion：CTF 基准数据污染研究（基准成绩可虚高约 2 倍）。

12、微软 SOC 智能体随机对照实验，arXiv:2511.13860，https://arxiv.org/abs/2511.13860

13、Epoch AI，高危 CVE 月度披露追踪，2026-07（a16z 文中引用）。

14、Software Strategies Blog 引 Gartner 数据，2026-02：\"用 AI 做安全\"与\"保护 AI 本身\"支出比约 17:1，后者约 28 亿美元、占 5.5%。

15、Sysdig TRT，《JADEPUFFER: Agentic Ransomware for Automated Database Extortion》，2026-07-01，https://sysdig.com/blog/jadepuffer-agentic-ransomware-for-automated-database-extortion

往期推荐:

两年四连变：当 ATT&CK 开始为 AI 时代重写自己

AI攻防备战报告：攻击可以买，防守只能自建

AI攻防备战报告（金融篇）：不碰一行代码，转走2亿港元

AI攻防备战报告（能源篇）：AI学会了拉闸

AI攻防备战报告（运营商篇）：攻击面的\"3+1\"

诸神之战：终端，成为智能体安全主战场

深度报告 | NIST CSF 2.0，给 AI 一把安全标尺