随着生成式 AI 和智能体逐渐进入企业业务系统，网络安全市场也在快速增加一批带有“AI”标签的新产品。但在 AI 安全网关、网络安全助手、智能体防火墙等概念密集出现的同时，企业开始追问一个更实际的问题：这些工具究竟解决了什么问题，又是否值得持续投入？
7 月 30 日，Gartner 高级研究总监陈延全在分享最新版《2026 中国网络安全技术成熟度曲线》时表示，2026 年中国网络安全市场主要受到三方面因素影响：人工智能加速融入企业系统，监管执法趋严，以及地缘政治压力下不断增强的技术自主需求。
与此前不同，今年成熟度曲线新增了代理型 AI 网络安全、AI 网络安全测试 (AI-CT)、机器身份与访问管理、后量子密码和容器安全五项技术。与此同时，一些较早进入市场的 AI 安全技术已经开始从概念热潮转向效果检验。
AI 带来的价值，首先不是裁员
Gartner 在报告中提出，到 2028 年，中国网络安全项目通过 AI 实现的价值，80%将来自任务自动化和能力扩张，而不是裁员；超过 80%的中国企业将面临员工在缺乏监管的情况下使用生成式 AI 的问题，由此产生的 AI 特定的数据泄漏控制，将成为首席信息安全官最关注的三项事务之一。
报告还预计，到 2029 年，50%针对中国企业员工的社会工程攻击将利用深度伪造技术实施，导致传统的意识培训失效；超过 30%部署物理 AI 的中国企业，可能经历造成物理中断的重大网络安全事件；实施 AI 网络安全测试的中国企业比例则可能由目前不足 5%上升至 70%。
这些预测指向同一个变化：AI 既在提高攻击者的能力，也在改变企业内部安全工作的方式。
陈延全表示，国内不少安全厂商已经开始将大模型接入数据分类分级、安全运营自动化和告警降噪等产品，希望在短期内获得比较明确的投入回报。但他同时强调，AI 并不会直接替代传统安全体系。
“AI 只是众多安全工具的其中之一。”他说，企业不会因为 AI 发展迅速，就停止进行安全运营、应用安全测试、数据资产发现、分类分级和合规评估。当前也没有明显信号表明，企业在 AI 安全上的投入已经显著超过传统安全投入。
这也意味着，AI 安全并不是重新建设一套与现有安全体系完全割裂的系统。API 网关可以扩展为 AI 网关，传统数据防泄漏工具可以增加对 AI 域名、提示词和敏感数据流动的检测，身份管理系统也可以逐步覆盖智能体和服务账号。只有传统工具无法处理的新风险，才需要专门的 AI 安全能力。
智能体安全仍处在早期，没有“一站式平台”
在新增的五项技术中，代理型 AI 网络安全受到的关注最高。
与主要生成内容的大语言模型相比，智能体可以感知环境、做出决策并直接采取行动。它可能调用企业内部工具、修改系统配置、发起采购、处理订单，甚至执行转账。风险也因此从数据泄漏扩大至权限滥用、工具误用和业务操作失控。
陈延全将企业中的智能体分为嵌入式智能体、独立智能体、目标导向智能体和多智能体系统。不同类型的智能体，所需要的安全控制并不相同。
嵌入办公软件或 SaaS 应用的智能体，往往依赖原有平台提供的权限和配置能力；而由企业自行开发的目标导向智能体或多智能体系统，则需要处理身份认证、速率限制、行为分析、运行时检查、在线阻断和跨智能体授权等问题。
但现阶段，市场还无法提供一套完整覆盖上述环节的产品。
“市场上没有单一厂商能提供完全标准化和一体化的全栈智能体安全平台，可以把这些都整合起来帮你管好智能体，目前不存在这产品。”陈延全表示，当前多数方案仍是在现有安全产品上增加功能，例如利用 AI 网关（AI Gateways）监控输入输出，使用身份管理产品控制权限，或者通过测试工具检测提示注入、数据投毒和模型攻击。国内 AI 安全平台仍然较为分散，只在部分场景中形成了专门能力。
机器身份与访问管理也因此被首次纳入成熟度曲线，并已经进入“期望膨胀期”。随着 API、应用程序、服务账号和 AI 智能体数量增加，企业需要管理的不再只是员工账号，还包括大量非人类身份。
这些身份同样需要注册、授权、密钥轮换、持续验证和生命周期回收。尤其是当智能体能够自主执行任务时，长期有效的静态凭证可能成为风险来源，企业需要通过短时、动态身份限制智能体在行为异常后继续访问关键系统。
网络安全助手从高点回落，开始接受 ROI 检验
今年成熟度曲线上的另一个明显变化，是“网络安全 AI 助手”已经从期望膨胀期进入泡沫破裂低谷期。
这并不意味着网络安全 AI 助手失去价值，而是企业对其预期正在回归现实。一方面，在安全平台中接入对话式助手、事件分析和报告生成功能已经不再困难；另一方面，企业需要为模型调用和 Token 消耗付费，开始更加严格地比较成本与产出。
陈延全认为，这是技术发展的正常周期。“企业不应该为了在安全领域用 AI 而用 AI”，企业最终会考察安全助手是否真正提升了人员效率，是否让安全人员减少低阶、重复性工作，并将时间转移到威胁建模、威胁狩猎等更复杂的任务上。
从 Gartner 调研结果看，生成式 AI 在代码分析、漏洞检测和修复等场景中的生产部署相对较多。这些任务结果容易校验，也比较容易量化。威胁建模、事件响应报告和根因分析则仍以试点为主。
目前企业最常用的衡量指标仍然是效率，包括报告撰写时间、漏洞分析速度、查询执行效率和平均响应时间。除此之外，误报率、数据分类准确率、代码修复接受率和漏洞检测覆盖率，也可以作为验收标准。
例如，一项数据识别工具在使用 AI 前的误报率较高，引入语义分析后，如果准确率能够由约三四成提高至八九成，这种变化才构成可以衡量的产品价值。
相比之下，直接以减少安全人员数量衡量 AI 价值，并不是 Gartner 所主张的方向。陈延全表示：“企业不应盲目通过缩减安全编制来衡量 AI 的投产比。在安全人才持续短缺、威胁攻防对抗升级的背景下，AI 的真实定位是安全团队的‘效能倍增器’，旨在帮助现有受限的团队消化爆炸式增长的安全积压，而非替代人类专家。”
模型更安全，不代表业务系统就安全
随着企业将 AI 接入核心业务，影子 AI 成为另一个突出问题。
影子 AI 不仅包括员工私自访问公共大模型，也包括办公软件中新增加的 AI 功能、业务部门自行调用的模型 API，以及外包、审计、法务等第三方服务商使用的智能体。即使一个 AI 项目在立项时经过安全团队评估，后续功能迭代也可能绕过原有审查流程。
陈延全表示，要治理影子 AI，关键在于不能一封了之，而是需要持续发现 AI 资产，监测数据流动，识别哪些用户、应用和第三方正在调用模型。同时，将对外 AI 服务访问与内部模型调用进行策略收敛，将 AI 网关（AI Gateways）与安全服务边缘（SSE）作为混合架构下的核心策略执行点，实现身份认证、提示词检测、敏感数据脱敏及 Token 成本的可观可控。
他同时提醒，选择一个经过安全备案的模型，并不意味着企业可以停止其他安全投入。模型自身的安全护栏无法判断企业内部哪些数据可以使用，也不能替代业务权限、数据治理和运行时防护。
本地部署开源模型也不天然比云服务安全。
“开源模型部署到本地化，并不是说就比部署在可靠的公有云环境上更安全。”陈延全表示，如果企业内网边界、零信任和运行监测能力不足，一旦攻击者进入内网并横向移动，接入核心业务的开源模型反而可能成为新的高价值攻击目标。
比起搭建完整治理体系，运行时防护更紧迫
对于有限预算应该优先投向哪里，陈延全认为，并不存在适用于所有企业的统一答案。
企业需要根据智能体的部署形态选择工具。对于内嵌在 SaaS 平台中的智能体，用户特权、影子 AI 监控与数据出境管控（可通过安全服务边缘 SSE 实现）是主要问题；对于企业自行搭建的目标导向智能体和多智能体系统，机器身份与访问管理（Machine IAM）及 AI 网关可以统一管理模型访问、身份认证、输入输出内容和攻击检测。
但 AI 网关也不是没有代价。由于网关通常串联在用户、应用和模型之间，一旦出现性能瓶颈或单点故障，可能直接影响核心业务。因此，企业在大规模部署前，需要评估扩容能力、高可用架构和故障影响范围。机器身份平台和零信任接入系统也存在类似问题：控制能力越集中，其故障对业务的影响可能越大。
相比建立一套完整的 AI 治理委员会和治理平台，当前多数企业更倾向于先处理高风险环节。陈延全表示，对于已经进入生产环境、面向企业客户或消费者开放的 AI 系统，运行时检测应当优先考虑。
安全测试无法覆盖所有与业务逻辑相关的攻击方式，也难以提前穷举攻击数量和提示注入手法。系统上线后，企业仍需要动态检测异常调用、智能体越权和偏离预定目标的行为，并在必要时进行阻断。
成熟度曲线给出的因此并不是一张简单的采购清单。企业除了考虑一项技术处在哪个阶段，还需要评估自身环境是否就绪、预算是否充足、产品能否审计、是否支持开放 API 和本地部署，以及它与核心系统之间的耦合程度。
当网络安全助手从热潮进入效果检验期，代理型 AI 网络安全仍停留在技术萌芽阶段，AI 安全市场正在发生的变化，不是 AI 概念消失，而是企业开始要求厂商回答更具体的问题：降低了多少误报，节省了多少时间，覆盖了多少风险，以及出现错误决策后，能否还原究竟是人还是 AI 做出了操作。
