当地时间9月1日，Anthropic新模型Fable 5.1发布不到几小时，匿名安全研究员Pliny the Liberator公开了一份声称从模型运行环境中提取出的系统提示词——超过27万字符，包含核心行为逻辑、记忆系统、版权规则、插件路由，以及全部46个内置工具的JSON架构（用来定义模型与外部世界交互的接口）。
这并非模型权重的泄露，也没有证据显示Anthropic后台或用户数据因此遭到入侵。但它让外界得以近距离观察一个前沿AI系统如何通过系统指令、工具权限和安全规则来控制自身行为，并暴露了一个更根本的问题：当AI操作手册不再是秘密，企业该如何信任一个可以被解构的AI体系？
近段时间，AI行业的安全事件密集发生，越狱、提示注入、零日漏洞挖掘，前沿模型的攻击面正以远超预期的速度暴露。大模型厂商一度被视作网络安全行业的“颠覆者”，如今却成了安全市场最大的“派单员”。
这一角色转变也被近期密集出炉的财报数据所验证。
华尔街的担忧被推翻
今年2月，Anthropic推出Claude Code Security，允许模型自动扫描代码库、寻找潜在漏洞并提出修复方案。
市场第一反应不是欢迎。CrowdStrike、Palo Alto Networks、Okta等网络安全公司股价集体下跌，部分跌幅达两位数。投资者担心，如果AI能承担漏洞发现和代码审计工作，传统安全软件的需求会不会萎缩？
仅数月后，模型产品本身暴露出越来越多的安全风险。OpenAI、Anthropic 多款前沿模型被测出具备越狱逃逸、自主挖掘零日漏洞、伪造身份、协同攻击能力；百余家科技巨头联名警告，随着全球各地模型能力不断提升，由人工智能发起的网络攻击将变得愈发广泛和复杂，留给各方强化网络防御的时间窗口有限。
曾经被视作网安行业颠覆者的大模型厂商，摇身一变，成了安全市场的“派单员”。
9月1日，网络安全头部厂商Palo Alto Networks披露的2026财年第四季度财报显示，公司收入34.1亿美元，同比增长34%；下一代安全ARR（年度经常性收入）达91亿美元，同比增长63%，单季净新增接近10亿美元。CEO 尼科什·阿罗拉（Nikesh Arora）表示，全球约有1万亿美元的网络安全债务亟待现代化改造，以抵御以机器速度运行的自动化威胁。
阿罗拉在财报电话会上详细拆解了AI对Palo Alto业务的三重驱动逻辑。第一，AI数据中心建设浪潮直接拉动了防火墙需求，公司已从主权AI项目、AI原生GPU专用云服务商以及前沿AI实验室获得了多笔七位数美元的防火墙订单。第二，AI Agent的普及正在创造全新的网络流量形态。过去9个月内，其SASE平台中由Agent产生的流量增长了9倍。第三，企业开始为AI模型、Agent、数据及调用链采购专门的安全产品。
另在8月末发布财报的SentinelOne，其Purple AI和Prompt Security等核心AI业务ARR同比增长三倍，管理层预计这将成为公司下一个“九位数ARR”业务。CrowdStrike2027财年第二季度净新增ARR达3.33亿美元，同比增长51%，创历史新高，CEO乔治・库尔茨（George Kurtz）称这一季度为公司的“Mythos时刻”——AI安全需求已从转折点演变为全面加速，公司AI检测与响应业务ARR环比增长近两倍。
信息安全研究员关傲男（Aonan Guan）观察到，近期网络安全行业确实在发生变化。他对第一财经记者表示，随着前沿AI模型发展，国际信息安全公司投入非常大精力用AI改造现有工作流程，如之前写防火墙的签名、检测规则以及进行告警研判等内容需要大量人工参与，目前较多公司已通过大模型进行改造。
此外，这些公司也在积极探索对AI新业务带来的安全防护，比如对AI模型本身安全护栏的开发、对AI模型和Agent的监控治理等。
AI带来的机会与挑战
财报数据与行业人士观察揭示了一个结构性变化：AI正在从两个方向重塑网络安全行业。
第一条路径是“AI for Security”，用AI提升安全效率。第二条路径是“Security for AI”，保护AI本身。
关傲男对记者表示，目前无论是传统咨询公司还是安全服务公司，都在通过AI提高效率，比如使用自动化渗透工具来辅助原有的红队渗透，使用前沿模型来对安全问题进行扫描和分析，甚至部分模型在安全任务上已经可以超过人类表现。
但是“保护AI”这点在关傲男看来，暂时较为依赖标准制定，以及对AI场景的定义。据他观察，美国商业前沿实验室已形成一定规模的事实标准，如MCP等通信协议已经形成了来自多个模型厂商、云厂商和安全厂商参与者共同搭建的技术治理和工作组。国内虽然也有一定热度，但由于没有在上游标准制定上重度参与，导致“保护AI”实现方面尚有空间。
标准问题只是其中一面。当企业真正开始部署大模型和Agent时，另一组更贴近业务现实的安全问题会立刻浮现：AI能访问哪些数据？能调用哪些工具？如果某个Agent被恶意指令操纵，它能否以此为跳板深入企业内部系统？
360集团首席科学家潘剑锋认为，AI带来的安全挑战甚至不只是攻击方式变化，而是计算逻辑从确定性走向不确定性。传统软件建立在确定性计算之上，人把不确定的世界抽象为确定的计算。但大模型能直接处理模糊、开放的真实世界任务，这种不确定性赋予AI创造能力，也成为新型安全风险的根源。
攻击者可以把恶意意图隐藏在用户输入、系统提示中，诱导模型产生提示注入；模型自身也可能产生幻觉和错误判断。当Agent开始连续推理、调用工具并与其他Agent协作时，一个小错误可能沿着任务链不断放大。
过去AI答错一道题，可能只是一个错误答案。今天，拥有系统权限的Agent判断错误，可能直接执行错误操作。因此潘剑锋认为，智能体时代的安全目标需要从"防御确定威胁”转向“管控不确定性”。
他不认为Anthropic等模型公司进入代码安全领域意味着传统安全厂商会被直接取代。但安全圈需要意识到这个深刻变化——没有能力适应AI的安全公司，可能被淘汰。
独立身份认证与访问管理服务商Okta的转变最为典型。CEO托德・麦金农（Todd McKinnon）在财报会上表示，企业每增加一个AI Agent，就需要解决其身份、权限和访问控制问题。Okta因此正在把身份安全从“人的身份”扩展到“机器和Agent身份”。
Palo Alto Networks则直接用产品验证了这条路径。面向AI应用、模型和Agent的新增产品线Prisma AIRS商业化仅四个季度，ARR即突破1亿美元，成为公司历史上增长最快的新产品之一。
云安全公司Zscaler CEO杰伊・乔杜里（Jay Chaudhry）将AI称为公司历史上最重要的机会之一，Agent访问企业应用、数据和互联网所产生的机器流量，同样需要经过身份验证、权限控制和安全检查。
中美差异化数据后的共同难题
当美国网络安全巨头享受AI红利时，中国部分同行仍存在亏损风险。
厂商财报数据显示，2026年上半年，奇安信营收14.97亿元，同比下降14.09%，净亏损4.11亿元，较上年同期亏损收窄46.58%；绿盟科技营收8.13亿元，增长1.51%，净亏损1.29亿元。
但AI安全需求在国内市场同样真实存在。绿盟科技AI安全订单达1.17亿元，运营商行业签单同比增长超300%；天融信AI安全防护业务收入同比增长超130%。只是国内厂商仍受制于项目制采购——预算审批、招投标、定制开发、实施交付、验收回款，周期漫长。
关傲男指出，中美财务差距的根源不只是AI投入多少。美国传统安全公司过去十多年已完成从硬件向订阅软件的转型，客户增加模块可以直接体现为ARR和订阅收入。中国市场则有大量政府和央国企项目制采购，AI可以帮助减少人工交付成本，却不会自动改变项目制模式本身。
中国的SaaS产业发展是个老话题，尚需时间完善。在AI发展早期，受市场体量、算力基础、客户结构与需求等因素影响，国内网安厂商侧重将AI嵌入原有安全产品，产品形态暂时没有根本性变化，影响的主要是能力维度；美国头部厂商则开始围绕AI重新定义安全产品，比如根据AI原生风险重新设计产品逻辑，创造全新产品品类等。
差异化的财务情况之外，行业内，AI正在成为网络安全的生产工具，也正在成为安全行业需要保护的新对象。前者正在提高安全公司的效率，后者则可能决定下一轮安全市场的规模。
山石网科CTO兼首席AI官蒋东毅表示，AI智能体已彻底抹平行业多年积累的人工攻防经验差距，而政企客户的安全需求已从单纯满足合规，转向看重实战攻防、事件研判与闭环处置的真实安全结果。
对于企业而言，真正的问题已不再是“要不要使用AI”，而是AI开始拥有身份、权限和行动能力之后，谁来约束它，以及谁能够在它犯错之前让它停下来。当AI操作手册可以被公开，企业对AI安全的信任无法建立在“黑箱”之上，而这恰恰是网络安全市场获得新一轮增长的深层原因。
