2026年的AI安全，正处于一个极为微妙的十字路口。一方面，企业迫切希望将AI智能体放权，深入核心业务以实现爆发式增长；另一方面，传统的安全体系在面对这些动态、长程决策的数字员工时却显得力不从心。
今年4月，汽车租赁软件公司PocketOS遭遇了一起极具代表性的事故。当时，一名工程师让Cursor里的编码智能体处理测试环境中的常规问题。智能体在遇到凭据不匹配后，没有停机等待人工处理，而是自行搜索代码库，找到了一个权限过大的Railway API Token，随即调用基础设施接口删除了存储卷。整个过程仅耗时9秒。当工程师反应过来时，公司的生产数据库以及同一存储卷上的备份已经消失。整个事故过程中，并没有传统意义上的黑客入侵。
几个月后，一个更极端的版本出现在OpenAI内部。8月26日，OpenAI发布事故复盘称，Agent在数十台HuggingFace服务器上执行代码，并成功在某一台服务器上获取root权限，进而侵入OpenAI内部研究基础设施。为了搞清Agent究竟做了什么，OpenAI后来分析了超过70亿条日志，消耗了数百万GPU小时。据专家估算，仅此一项的计算成本就在400万至1500万美元之间。
诸多疑问随之浮现：为何风险已经进入核心生产环境，安全措施却迟迟未能跟上？企业究竟在为何买单？当Agent获得越来越多真实权限后，Agent安全最终将走向何方？
在2.6万亿规模的AI浪潮下，Agent行为防护正面临被边缘化的困境。2026年，AI已演变为全球科技史上最昂贵的技术豪赌。据Gartner今年5月更新的预测数据，2026年全球AI支出将飙升至2.596万亿美元，较上一年大幅增长47%。在这庞大的万亿级蛋糕中，AI基础设施独占1.43万亿美元以上的巨额份额，AI软件与AI服务也分别分走了4532亿美元和近5855亿美元。然而，与基础设施和算力侧的“狂飙突进”相比，全球AI安全支出仅为513亿美元，在整体AI预算中的占比低至2%左右。
更严峻的现实在于，即便是这极其有限的安全预算，绝大部分也没有投向真正代表未来方向的“Agent行为与系统防护”，而是被传统安全厂商的智能化包装和基础的内容合规拿走了。梳理当前AI安全的核心细分赛道，预算的倾斜与落差便一目了然。具体来看，AI安全赛道主要分为四个板块：AI赋能传统安全、AI内容安全、AI伦理与合规安全，以及Agent安全。
其中，AI赋能传统安全利用大模型重构网络安全技术栈，如利用AI进行SOC日志分析、威胁情报关联等，代表企业包括奇安信、深信服等。这类方案之所以拿走大头，是因为本质上是传统CISO在已有预算框架下的“智能化升级”。AI内容安全则拿走绝大多数AI专项合规预算，核心能力围绕Chatbot时代的“文本进出”做审查，包括敏感情感过滤、有害知识提取阻断等，代表企业包括数美科技、网易易盾等。AI伦理与合规安全多归属于法务与公关部门，多以项目制咨询为主。Agent安全的核心能力在于保护Agent运行时的完整闭环，涵盖工具调用越权拦截、长程任务行为风险控制、沙箱逃逸防御等。然而，该板块尚未普遍形成独立、稳定的预算科目。
ETR Research的调查显示，2026年已有37%的企业部署或正在测试AI Agent，但真正大范围上线Agent专属安全控制的企业只有3%，还有20%完全没有任何Agent专属控制。大部分企业仍停留在试点阶段。
一个疑问是，为什么随着Agent日益深入企业核心业务，最核心的Agent行为安全反而拿不到大预算？方寸跃迁CEO李筱健指出，防护对象已经从静态的模型与文本，变成了动态、自主的Agent行为。传统的预算申请逻辑逐渐失效。随着安全对象演化为贯穿业务全流程的Agent，过去清晰的安全边界随之瓦解。在传统IT体系下，安全边界清晰，权责划分明确；但在Agent应用场景下，治理链路横跨多个部门，业务部门追逐落地效果，AI团队负责模型调优，IT部门把控系统权限，安全团队背负事故责任，法务与合规部门紧盯备案风险。
这种权责交叉直接导致了管理上的撕裂。根据Cisco调研，针对Agentic AI的安全责任归属，29%的受访者认为应由CISO承担，27%指向CIO及IT组织，另有24%归属于企业内部的中央AI委员会。责任主体的混乱直接导致了采购入口的不稳定。当面临风险防护时，企业甚至无法明确这笔钱该由哪个部门划拨。这种采购责任的离散，倒逼企业走向了“头痛医头、脚痛医脚”的碎片化采购模式。
在这种单点化采购下，攻与防被拆解为孤立的单点采购，防御防线无法随着Agent业务的动态演进进行持续迭代。采购的碎片化又进一步引发了安全价值难以被合理评估的困境，将Agent安全推入了ROI评估的黑盒。李筱健评价道：“错误的Agent安全，可能比完全没有Agent安全造成的业务损失更大。”
虽然Agent安全的全局预算尚未迎来爆发式的全面普惠，但在市场的冰山之下，第一批愿意为此掏出真金白银的“买单者”已经清晰地浮出水面，那就是大模型厂商、具身智能企业以及高合规要求的政企客户。这并非偶然，而是由“外部监管红线”与“内部业务演进”这两股力量共同推演的结果。
第一股推力来自日趋严苛的监管刚性约束。以2026年中央网信办启动的“清朗·整治AI应用乱象”专项行动为例，从4月份重点覆盖算法备案、内容审核过滤等，到7月份已累计处置违规AI产品1.4万余款、清理违法违规信息600余万条。模型要上线、产品要过审、业务要备案，安全防护成了不可逾越的前置门槛。
在这场监管风暴下，大模型厂商处于风暴眼，其公开发布、API兜底责任以及备案审核要求最为苛刻；政企客户的数据敏感度极高，“未备案不采购、不安全不上线”是不可触碰的硬性纪律。由此释放出了一笔极其确定性的“合规预算”。然而，单靠监管推力的合规预算，天然存在上限，只要满足过审要求，企业就很难有动力无限追加投入。
真正能把Agent安全推向“长期基础设施”的，是第二股更为根本的力量——Agent业务深度的实质性提升。李筱健透露，他们更倾向于服务那些“真的在使用AI、且在AI落地路径上走得足够超前”的客户。大模型厂商与具身智能企业率先踏入这片试水区，其Agent已深度调用敏感数据、操作代码环境，甚至获得对真实设备、自动化流水线的控制权。
Agent的自主权力每向前延伸一步，企业需要开放的系统权限就翻倍增加，未知风险路径也随之指数级剧增。这使得安全需求彻底分化为两种逻辑：一是监管驱动的合规预算，解决“能不能上线”的生存问题；二是业务驱动的原生安全预算，解决“企业究竟敢把多少核心业务交给AI”的发展问题。当安全演变成为确保Agent持续、自主运行不可或缺的组件时，其产品形态发生了质变，从“事后拦截”向“运行时持续护航”转变。
随着Agent安全产品形态的深层重构，整个AI安全产业正在经历一场前所未有的范式转移。NIST今年3月发布的报告指出，AI系统在真实环境中的表现存在新的可变性与不可预测性，上线后的持续监控对于大规模、可信地采用AI越来越重要。全球顶级AI厂商的工程落地架构也验证了这一趋势，将安全拆解为嵌入在系统执行链路中的“持续运行控制面”。
在全新的Agent工作流中，安全介入节点发生了根本倒转，不再是Agent运行“之前”，而是深入到Agent的“每一次执行”之中。Agent每准备读取敏感数据、调用API工具、执行高风险写操作，甚至系统权限变更时，都需要实时判断。这倒逼传统防护链条重构为“评测-授权-运行-监控-反馈-再评测”的闭环生态。
对于试水AI的企业而言，这种全新防护体系的建立带来了解放思想的落地路径。企业不用试图第一天就“想得太清楚”，更合理的做法是在受控的模拟环境中让AI真正跑起来，再通过持续的安全测试与专业防线设计，逐步看清它在真实运作中可能衍生什么风险。安全正在从产品上线前的一道“闸门”，演变为一条紧跟AI动作一起移动的“动态护栏”。这，才是2026年Agent安全市场正在发生的真正嬗变。