今年夏天，OpenAI agent 入侵 Hugging Face 生产系统事件，让 AI 带来的安全挑战变得非常具体：模型不仅能找到漏洞，还能获取权限、执行攻击，完成一连串原本需要专业红队操作的步骤。随后，OpenAI“Patch the Planet”计划又协助发现 PHP 隐藏十多年的严重漏洞（CVE-2026-109618/109619，CVSS 9.2），把“AI 辅助挖洞—人工验证—紧急修补”的链条直接怼到企业面前。

漏洞发现变快了，但企业修不修得动，才是预算重新分配的真实起点。

a16z 对 100 位千人以上企业 CISO 的调研显示：87% 预计 2027 年安全支出增加，近 50% 反而计划扩编安全团队——AI 没有取代安全岗，而是把告警量、攻击面、代码量一起放大了。

01. 攻防节奏重构：从“周级”压到“分钟级”

AISI 的 32 步模拟攻击评测里，新模型 Mythos Preview 最好成绩能跑完全程；贝恩估算 AI 把典型攻击准备从 4 周压到 18 小时。漏洞从披露到 PoC 利用脚本，网宿报告测得已缩至数分钟，而企业中位修补时间仍要 43 天。

预算含义很直接：
• 测试频率从“年度渗透”转向持续测试：18% 已在生产环境持续跑进攻性测试，52% 预计一年内做到；

• 44% 预计五年后测试直接挂进 CI/CD，随代码提交自动触发；

• 采购偏好反转：进攻性安全里 42% 优先看 AI 原生厂商，而不是传统平台插件。

钱从“买扫描器”变成“买一直跑的攻防 Agent”。

02. Agent 权限：新信任边界，不是新功能

92% 企业已把生成式 AI 放进生产，83% 用 coding agent，55% 通过 MCP 让 Agent 直连业务系统。问题随之而来：Agent 用员工身份读文件、调 API、发消息，EDR/DLP/零信任看到的全是“员工本人在操作”。

CISO 最担心的三件事：
• 47% 敏感数据泄给 AI 工具

• 46% Agent 越权或被劫持

• 29% 提示注入导致横向移动[ccitation:3]

预算因此切向三块：
1. Agent 身份与最小权限：给 Agent 独立身份、独立凭据、独立审计线（Okta 已在把 IAM 从“人”扩到“机器”）；
2. 操作分级：36% 现在敢让 Agent 做低风险自主操作，60% 一年内接受低风险 SOC 自治，但改生产、删数据、批权限仍留人工审批；
3. 人/机行为区分：Neo 类工具跟踪“这步是人点的还是 Agent 自动跑的”，解决责任归属。

安全预算里“身份与访问管理”这一项，正在被重写成“人+Agent 混合身份治理”。

03. 代码安全：左移，再左移到依赖链

AI 让写代码成本趋零，也把代码量推到审计工具过载。
• 2026 年只有约 25% CISO 把 AI 代码安全列前五优先，2027 年冲到 48%；

• 传统 SAST/SCA 误报高、看不懂 AI 生成代码，企业开始买能“主动读依赖源码”的工具（如 Socket）、精简容器镜像、持续从源码重构建；

• PHP 事件证明：你自家代码再干净，依赖链里一个躺了 20 年的内存缺陷就能打穿。

预算逻辑：代码安全不是“上线前扫一次”，而是“依赖树持续体检 + Agent 提交 PR 自动过安全护栏”。

04. SOC 扩容：Agent 做调查，人做判断

分析师一条告警要跨多个系统取证，几小时过去。AI Agent 先收日志、还原时间线、标异常，复杂判定交人。
- 当前 18% 已生产用 AI SOC，36% 试点；
• 采购优先级里 AI SOC 排第一（22% 投它），但未来 12 个月计划采购升级的仅 31%——大家还在 POC，没到普及。

窗口期在 2027：谁先把“告警闭环”从人肉研判改成 Agent 初筛+人审批，谁吃掉这轮预算。

05. 钱到底花在哪（采购地图）

方向 预算动作 代表品类

自动攻防 持续红队、CI/CD 内嵌 AI 原生进攻性安全

Agent 安全 身份、权限、审计、沙盒 AIDR、Agent IAM

代码安全 依赖扫描、PR 级验证 下一代 SAST/SCA

SOC 自动化 告警分流、低危自治 Agentic SOC

防社会工程 深度伪造演练、仿冒账号下架 反钓鱼、DRP

企业采购倾向：44% 先看现有平台（Palo Alto/CrowdStrike）能不能扩，21% 直接找 AI 原生创业公司；但 47% 明确“只为现有平台解决不了的新风险买单”。

06. 底层判断

AI 没让安全便宜，也没让安全团队失业。它把安全从“边界防护”重构成“全链路不确定性管控”：
• 攻击侧：漏洞挖掘成本趋零；

• 防守侧：暴露面、Agent 行为、代码供给链同时爆炸；

• 预算侧：从“买设备”转向“买持续运行的分析与约束系统”。

真正值钱的公司，不是“用 AI 替代安全工程师”的那家，而是帮企业回答三句话的：
Agent 到底碰了什么、谁批的、出事能不能溯源。

大模型厂商是“派单员”，不是“颠覆者”。未来 18 个月，安全预算的增量几乎都来自这一张单：把 AI 自己变成的那部分攻击面，重新买回围栏里。