一年一度

数说安全《2026年中国网络安全市场全景图》（以下简称全景图）如约而至，这是自2018年开始，数说安全发布的第九版全景图。

数说安全仍然采用较为严格的录入标准，在完成对基础资质与市场活跃度的核验后，我们还引入了对企业经营稳健性与可持续发展能力的多项评估，力求收录那些已经过实际场景检验、具备一定市场份额，并能保持持续研发投入与自主创新动力的品牌。这样呈现出的全景图，能够为网络安全主管部门、行业从业者、产品与服务使用及采购单位，以及资本机构提供更可信、更具参考价值的结构化信息。

跳转微信打开

中关村自主大模型产业联盟网络安全工作组联盟网安成员（个人和企业会员）的专属权益

跳转微信打开

安全大模型如何接管漏洞的挖掘、武器化与治理全生命周期，带领我们走向真正的“自治”？

跳转微信打开

10月8日留言区前三位（点赞）最多的读者可获得免费GEEKCON上海站全价票

阅读原文

跳转微信打开

“赛博司机计划：100小时不间断Agent渗透测试挑战”

阅读原文

跳转微信打开

当攻击进入AI Speed，安全防御应该如何跟上？

跳转微信打开

一年一度网络安全年度报告

《2026中国网络安全行业年报》是数说安全针对中国网络安全产业进行深度分析和详细研究的年度报告，每年更新一版，主要内容覆盖宏观趋势、政策法规、市场数据、技术方向、企业战略与经营、产业投融资等。希望通过对不同维度的数据分析和研究结论，呈现我国网络安全现状、剖析产业特点、总结市场规律、挖掘商业机会、促进行业发展。

• 解读中国网络安全宏观趋势，探索推动产业发展的核心驱动力。

• 梳理网络安全立法体系，明确上位法的出台和下位法逐渐落地对网络安全建设的引领，分析关键领域及行业相应规范条例的作用和意义。

• 通过公开招投标数据，分析中国网络安全市场供需关系，研究市场趋势和采购规律，寻找行业关键客户和关键渠道，了解厂商的市场覆盖及渗透，洞悉产品及业务领域的市场态势。

• 通过跟踪全球网络安全创新企业与前沿技术，研究国际网络安全战略、框架及方法论，分析国内外网络安全市场差异。

• 对比企业关键财务数据以发现行业最新变化及经营规律，分析企业战略和经营情况来理解上市公司商业模式并评估企业竞争力，研究网络安全上市公司估值体系并找到变化规律。

• 通过搜集整合行业内创业企业的融资事件及数据，分析网络安全行业一级市场整体融资趋势；结合不同阶段和细分赛道内公司的融资金额及轮次数，发现赛道融资热度、企业融资周期等特征；同时梳理当年活跃投资机构，并聚焦国资背景等不同属性投资方的投资布局特点。

【版权声明】

本报告版权归北京赛博英杰科技有限公司所有，报告中所有原创文字、观点、图片、表格均受中国知识产权法律法规保护。转载、摘编或利用其他方式使用本报告内容的，应向所有者取得书面授权，并注明“来源：数说安全”。违反上述使用的，我司将追究其法律责任。

【免责声明】

本报告中部分文字和数据采集于公开信息；市场数据通过“智云销售助手”进行统计分析与模型估算获得；企业数据通过公开信息或访谈获得。数说安全对报告内容的准确性、完整性和可靠性尽最大努力的追求。由于研究方法和数据样本具有一定局限性，故在任何情况下，本报告中的信息或所表达的观点仅供客户作为参考，不构成任何建议。本公司不对报告的数据及分析结论承担法律责任。

跳转微信打开

AI开始执行真实操作之后，任务授权、运行隔离和责任追溯之间的缺口，正在造成实际的网络安全事件。

一场原本用于检验AI网络攻击能力的测试，最终触及了真实企业的系统。

2026年9月18日，谷歌确认，Gemini在今年5月由第三方评估机构Irregular开展的网络安全测试中，访问了三家真实机构的受保护系统。谷歌安全工程副总裁Heather Adkins表示，模型当时认为这些网站属于测试范围。

据路透社援引《华尔街日报》的报道，其中一次访问通过猜测密码实现，另两次使用了公共代码仓库中发现的凭证。谷歌称，模型在三起事件中都停止了攻击行为，相关机构已获通知，公司也与测试合作方推动了流程调整。Irregular表示，相关实验室在7月下旬已获通知，其已知问题此前已经修复。

本次检索到的披露没有完整交代Gemini的具体版本、三家机构名称、全部操作记录、数据访问范围，以及是否发生持久化控制或业务损失。谷歌表示，模型在识别出目标属于真实公司后停止了相关行为，并称事件未造成损害。但目前公开材料仍不足以独立核验完整访问范围及影响。

同样需要谨慎的是“逃出沙箱”。

在网络安全语境中，突破原本有效的隔离控制，与利用错误配置留下的联网路径，具有不同的技术含义。前者涉及控制措施被绕过，后者首先涉及控制措施是否真正建立。对Gemini事件，现有披露不足以认定它完成了一次严格意义上的沙箱逃逸。

但这并不降低事件的重要性。它暴露的问题，比一次具体的漏洞利用更普遍：当当模型误判目标属于测试范围时，为什么执行环境没有阻止它向范围外系统发起操作，而目标系统的认证防护又未能阻止未经授权者进入？

理解这个问题，需要把Gemini放回今年连续披露的事件中。

以上内容来源于OpenAI调查、Anthropic披露、Meta复盘及前述谷歌声明。Google、Meta和Anthropic的相关披露涉及Irregular评估环境，应考虑共同测试条件带来的相关性，不能将它们简单视为相互独立的风险样本。OpenAI的Hugging Face事件则应依据其独立技术链条分析。

对产业而言，这意味着两项工作必须同时推进：研究模型为何作出越界决策，以及验证评估供应链是否真正具备安全运行条件。把责任全部归给模型，或者全部归给配置错误，都会遗漏一半问题。

此次事件最值得追问的，是模型误判任务范围后，为什么缺少独立于模型判断的有效执行约束。

传统软件通常沿着开发者预设的路径执行。智能体则可能在目标不变的情况下，自行选择工具、寻找线索、调整路径，并在失败后尝试其他方案。这种适应能力也是它的产品价值。

问题出现在“相关性”被误当成“授权”的时候。

一个网站名称与任务中的公司相同，说明它可能相关，不说明测试者拥有攻击权限；一个凭证可以在公共仓库中找到，说明它已暴露，不说明任何人都可以使用；一个接口能成功调用，说明技术上可达，不说明当前任务有权调用。

对人类渗透测试人员，这些区别应由授权书、测试范围和操作规则明确。对智能体，同样的边界不能只写在提示词里，再交由模型自己解释。

这里至少存在三道应当相互独立的边界：任务允许做什么，身份被授予什么权限，运行环境实际能够触及什么资源。只要其中一道过宽，其余边界就必须能够补位。

因此，Gemini事件能够支持的更严谨结论是：模型的安全判断不能成为真实系统的唯一访问控制机制。至于此次行为在多大程度上来自安全训练不足、环境误导或任务设计，需要更完整的技术证据才能归因。

谷歌披露模型最终停止攻击，这一信息值得保留。它表明行为轨迹并非只有持续扩张一种可能。但是，从防守方看，停止发生在访问之前还是之后，具有实质差别。自主停止可以降低后续损害，却不能替代首次访问前的授权检查。

安全体系必须允许模型判断错误，同时保证错误不会无限放大。

另一个容易被忽略的信号，是旧漏洞正在遇到新的执行方式。

猜测密码、使用暴露凭证，本身并不代表网络攻击技术发生突破。已有扫描器和自动化工具也能实施其中部分操作。

智能体值得关注的变化，是它可能把搜索、判断、尝试、读取反馈和改换路径连接起来，减少每一步之间对人工协调的依赖。由此产生的风险，不一定首先体现为发现更多零日漏洞，也可能体现为持续利用那些长期没有修复的基础性缺陷。

这是基于其工作机制的风险判断，不能由本次事件直接推导出攻击成本下降了多少，或全网攻击频率提高了多少。但它足以改变防守优先级：企业在采购新型AI安全产品之前，仍需要处理暴露密钥、弱认证、过宽服务账号权限和缺少访问限制等旧问题。

两类防线需要同时存在。一类限制本企业智能体向外做什么，另一类保护本企业系统不被外部智能体利用。即便企业没有部署任何AI，也不会因此免受后一类风险影响。

这也使网络安全产业面临一个具体的产品检验：现有“AI安全”能力，究竟管到了哪一步？

从国内厂商公开材料看，产品布局已经延伸到智能体运行阶段。例如，新华三2026公布的AI安全网关方案涉及身份权限关系、动态权限和行为审计；奇安信发布的智能体安全平台则将工具调用管控纳入运行时防护等。……

这些动态可以证明厂商正在布局，而实际效果仍取决于部署位置、执行覆盖、策略配置和对抗验证。

如果一个产品只能检查用户输入和模型回答，那么即使两端文本都没有违规，智能体仍可能在中间调用工具完成一次越权访问。若网关只代理模型接口，而执行容器可以直接联网，它也未必看得到全部行为。

这将推动采购评价从“能识别多少类恶意提示词”，进一步转向“是否控制了所有具有实际影响的执行路径”。

一种产品难以包办所有问题，而产品之间应形成真实的控制链。

身份系统决定“以谁的名义执行”；工具和业务系统决定“能操作什么对象”；网络与运行隔离决定“能够触及哪里”；审计系统记录“实际发生了什么”。语义分析可以帮助识别可疑意图，但最终的拒绝执行，需要由模型不能自行改写的机制落实。

对于安全厂商，竞争优势可能会更多来自于身份、云平台、开发环境和业务系统的集成深度。模型判断再准确，如果没有执行控制权，也只能发出告警。反过来，单纯沿用静态白名单，又可能无法适应需要动态选择工具的业务流程。

值得考验的是，在业务所需的灵活性与可验证的授权之间找到可运行的平衡。

从商业角度看，这些事件会强化需求的合理性，但不会自动转化为所有安全厂商的新增收入。只有当企业将智能体接入高价值系统，形成明确预算，并建立可验收的控制要求时，风险认知才可能转化为采购。现阶段，更值得观察的是实际执行权限、付费部署范围和验收指标，而不是产品名称中是否出现“Agent”。

对安全行业自身而言，要求还应更严格：用于防守的智能体，也必须被当作需要约束的执行者。

安全运营智能体可能拥有封禁账号、隔离主机、修改规则的权限；自动化渗透测试智能体可能拥有扫描和漏洞验证工具。这些权限正是其业务价值来源，也是误判造成损害的放大器。

因此，“用途是防御”不能成为放宽权限的理由。越是具备处置能力的安全智能体，越需要明确目标范围、审批条件、终止机制和恢复路径。

此次事件对测试体系的启示，也不能停留在“加强红队演练”。事件本身就发生在攻击能力评估之中。增加更多攻击题目，如果不审查测试环境与授权边界，可能只是增加风险暴露。

更有效的改进，是把测试分成两个相互关联的问题：模型能否完成任务，以及模型和执行系统能否在不越界的条件下完成任务。

前者衡量能力，后者衡量可部署性。采购与上线决策需要后者。

例如，在完全受控的靶场中，可以故意设置与目标名称相似的模拟站点、无授权的诱饵凭证、无法按原路径完成的任务，观察模型是否扩大目标范围，以及运行环境是否及时拒绝。测试对象还应包括浏览器、执行容器、工具连接器和子智能体，而非只测试模型问答。

其中一个关键设计是允许安全退出。如果任务无法完成，模型应能报告失败或请求补充授权；评价体系也不应只奖励成功完成，而忽略完成过程付出的越界代价。这是本文提出的评估建议，并非对Gemini训练机制的已知描述。

审计同样需要升级。

仅保存聊天记录或模型自述，不能构成完整的操作证据。METR对OpenAI与Hugging Face事件的独立调查报告记录了智能体研究篡改操作记录，以及部分工具调用伪装的情况。这是另一起事件的发现，不能归到Gemini身上，却说明审计不应完全依赖被审计对象自己生成的记录。METR独立调查

企业更需要由执行网关、身份系统和目标业务系统分别留存证据，关联任务编号、授权依据、实际目标、调用参数、执行结果和权限变化，并避免智能体拥有删除这些记录的权限。模型解释可以帮助调查，业务系统真实发生的状态变化才是核心证据。

对于正在部署智能体的企业，近期最有价值的行动可以压缩为三项：

1. 先盘点执行权。识别哪些智能体能联网、持有凭证、执行代码和修改业务数据，并明确负责人。

2. 将授权下沉到执行点。按任务发放范围受限、短时有效、可撤销的权限；重大操作由独立规则或人工审批控制。

3. 用越界场景验收。同时衡量未授权动作拦截率、正常任务完成率、误拦截、发现与撤权时间、日志完整性，避免只用单一检测率证明安全。

对模型开发者和评估机构，下一步则应是更可比较的披露：说明测试时是否移除了常规防护、实际联网条件、发现方式、访问后果、停止原因及修复验证范围。没有这些信息，外界很难判断风险来自能力增强、环境配置，还是二者共同作用。

Gemini事件留给网络安全产业的核心问题已经足够清晰：当软件开始自主决定下一步行动，企业必须能够独立决定哪些行动有权发生。

未来智能体能否进入更多核心业务，将越来越取决于企业能否验证：即使模型理解错了任务，独立的执行控制仍能限制其越界行为，并在控制失效时及时发现、终止和追溯影响。

跳转微信打开

以下文章来源于：绿盟科技

绿盟科技 官方微信

该象限唯一入选的中国厂商

跳转微信打开

近日，暨南大学网络空间安全科研中心隐私计算与数据安全平台采购项目发布（二次） 招标项目，项目预算（最高限价）1490万元，采购标的为联邦学习隐私计算服务器等设备。

二、申请人的资格要求：

1.满足《中华人民共和国政府采购法》第二十二条规定；

2.落实政府采购政策需满足的资格要求：

子包1：本子包不属于专门面向中小企业采购的项目。

3.本项目的特定资格要求：（1）投标人必须符合《中华人民共和国政府采购法》第二十二条的规定，提供下列材料：1）具有独立承担民事责任的能力：在中华人民共和国境内注册的法人或其他组织或自然人：投标时提供相关证照的扫描件（复印件）之一：①企业法人提供企业法人营业执照；②事业法人提供事业法人登记证；③其他组织提供其他组织的营业执照或执业许可证；④自然人提供居民身份证等。分支机构投标的，须提供总公司和分公司营业执照副本扫描件（复印件），总公司出具给分支机构的授权书。2）具有良好的商业信誉和健全的财务会计制度：提供2024或2025年度财务状况报告（或最近一期财务报表）或2026年基本开户行出具的资信证明。3）具有依法缴纳税收和社会保障资金的良好记录：提供投标截止日前6个月内任意1个月依法缴纳税收和社会保障资金的相关材料。如依法免税或不需要缴纳社会保障资金的，提供相应证明材料。4）具备履行合同所必需的设备和专业技术能力：提供声明函或按招标文件格式填报设备及专业技术能力情况表。5）投标人参加政府采购活动前三年内，在经营活动中没有重大违法记录【重大违法记录，是指投标人因违法经营受到刑事处罚或者责令停产停业、吊销许可证或者执照、较大数额罚款等行政处罚。（根据财库〔2022〕3号文，“较大数额罚款”认定为200万元以上的罚款，法律、行政法规以及国务院有关部门明确规定相关领域“较大数额罚款”标准高于200万元的，从其规定）】：提供声明函，格式见第六章。6）符合法律、行政法规规定的其他条件【①单位负责人为同一人或者存在直接控股、管理关系的不同投标人，不得同时参加本采购项目（子包）投标。②为采购项目提供整体设计、规范编制或者项目管理、监理、检测等服务的投标人，不得再参加该采购项目的其他采购活动。】：提供声明函，格式见招标文件第六章。（2）投标人未被列入“信用中国”网站(www.creditchina.gov.cn)“记录失信被执行人或重大税收违法案件当事人名单或政府采购严重违法失信行为”记录名单；不处于中国政府采购网(www.ccgp.gov.cn)“政府采购严重违法失信行为信息记录”中的禁止参加政府采购活动期间。（采购代理机构将于投标截止日当天在“信用中国”网站（www.creditchina.gov.cn）及中国政府采购网(www.ccgp.gov.cn)上查询相关信息。如查询结果未发现失信行为，视为评审时投标人符合本款要求）（3）已登记并获取本项目采购文件。（以投标截止时间前采购代理机构在广咨电子招投标交易平台（https://www.gzebid.cn）上的查询结果为准）（4）本项目不接受联合体投标。（无提供《联合体共同投标协议书》的视为非联合体投标）

跳转微信打开

跳转微信打开

AI是如何有效、落地的驱动网络安全的？

完整pdf版本请关注“数说安全”公众号，私信回复“2026创新方向”获取。

跳转微信打开

9月16日，2026年国家网络安全宣传周电信日主题活动在山东省济南市召开。会上，中国信息通信研究院（以下简称“信通院”） 网络安全卓越验证示范中心实验室（以下简称“卓越示范中心”）联合中国移动通信集团浙江有限公司、中国电信大可实验室、绿盟科技集团股份有限公司、北京长亭科技有限公司、杭州安恒信息技术股份有限公司等发起单位，在工业和信息化部、山东省通信管理局等主管部门领导，来自基础电信企业、基础模型企业、网络安全企业等120余参会代表见证下，启动智能化安全防御能力就绪度提升工作。

智能化安全防御能力就绪度提升工作依托卓越示范中心人工智能大模型安全能力训推一体化平台，以覆盖安全知识与推理、源代码审计、漏洞发现与利用、多阶段攻击链等递进式7层评价标准为准绳，融合 CyberGym、Cybench等国际公开基准与自研的测评数据集，支撑对大模型、智能体安全能力科学客观测评，精准识别模型安全能力差距，推动模型网络安全应用选型，赋能行业安全能力提升。

图1 智能化安全防御能力就绪度提升工作正式启动

启动仪式后，信通院首席专家石友康作“AI赋能网络安全，从理念到实践的探索与思考”主题演讲。深刻剖析AI技术内核与网络安全底层逻辑的天然同构特征，研判全球AI网络安全战略布局与产业演进态势，“以智御智”成为智能时代网络安全必答题。

图2 现场演讲分享

在此背景下，立足产业发展需求，信通院卓越示范中心立足前期大模型网络安全能力横评工作基础，研制人工智能网络安全能力测评标准，搭建大模型安全能力评价验证平台，平台已接入国外2款、国内4款主流大模型，具备有代码审计、漏洞利用等10款安全智能体，搭建了代码仓库、CVE容器环境、多主机攻击链等靶标环境，支持自动化调用大模型和编排智能体，对靶标系统开展漏洞发现与利用、长步骤攻击链执行等安全能力测试。

图3 大模型安全能力评价验证平台和多主机靶标环境

下一步，信通院卓越示范中心将深化开展智能化网络安全能力评价和提升工作，推动评价成果向标准规范与产业共识转化：

面向基础模型企业，开放权威测评渠道，开展模型安全能力摸底，帮助企业找准安全短板、以测促优，以客观评价结果推动模型安全能力跃升；

面向基础电信企业，针对企业真实网络和业务场景，支撑“模型＋智能体”防御应用效果验证，助推企业AI安全防御能力就绪，推进成熟方案规模化落地；

面向网络安全企业，联合开展安全垂域模型、安全智能体、安全工具与测评数据集等核心能力建设，并通过标准规范与产业共识转化，助力优秀产品方案推广与应用。产业各方通过资源互通、联合验证、标准共治，为智能化安全防御体系夯实能力底座、筑牢发展根基。

跳转微信打开

2026网安周 网络安全技术高峰论坛主论坛

9月14日，以"网络安全为人民 网络安全靠人民——智能时代 网安护航"为主题的2026年国家网络安全宣传周开幕式在济南举行。

长亭科技创始人、CEO朱文雷在网络安全技术高峰论坛主论坛上发表题为《加速智能防御变革，共筑数智安全未来》的演讲，为AI时代的网络安全防御变革建言献策。

当前，人工智能正在强力加速进入网络安全领域的发展。长亭科技长期在一线钻研 AI 安全，尤其是漏洞攻防技术的研究。随着前沿模型能力的跃迁，网络安全的风险面在持续扩大，防御的难度也在上升，安全能力能否跟上，直接关系到 AI 能在业务中走多远。

朱文雷结合长亭在攻防一线的实践，分享了三个观点。

 AI正加速进入网络信息安全 

过去，发现一个高价值漏洞，往往依赖少数高水平专家，周期长、成本高、难以复制，而从2025年开始，前沿大模型的能力进一步突破之后，网络安全的漏洞挖掘和渗透攻击，立刻开始发生根本性的从量变到质变的演变过程。

今年5月份，美国Anthropic公司率先利用“神话”大模型发现了上万个高危漏洞，并成立“玻璃之翼”项目，只在国外小范围内共享该漏洞挖掘能力。OpenAI紧随其后，使用最新GPT模型也挖掘了大量高危漏洞，并成立类似计划，也是小范围共享该能力。

再把目光投回国内，目前已经看到智谱、Kimi、阿里千问等最新的前沿大模型逐渐具备了一定的安全能力，虽然离国外先进水平尚有差距，但是追赶很快。长亭作为安全厂商研发了MonkeyScan漏洞挖掘智能体，上线后已经帮助用户发现了超过5万个漏洞，高危或严重问题占到了一半以上。这里面我们抽检过数据，其中90%以上都是非常精准的真实存在漏洞，需要去修复。除了长亭之外，几家国内前沿安全公司也都研发了类似的漏洞挖掘智能体，漏洞发掘数量远超往年。今年可能一周、一个月漏洞挖掘的数量就超过了去年全年。

 AI让攻击进入工业化时代 

在这样的趋势下，如果同样的能力被攻击者掌握，也会让黑灰产业链形成工业化和规模化。未来攻击者一定会利用 AI，把漏洞发现、资产侦察、攻击实施连接成自动化流水线，让大量智能体7×24小时并行工作，批量发现漏洞、批量生产网络攻击武器。网络攻击一旦具备工业化生产和规模化复制能力，风险的量级将发生根本变化，甚至从量变引发质变。我们与行业的很多头部客户多次探讨，大家普遍感觉这样的风险已经近在眼前，短则半年，长则一两年很有可能成为现实。

大模型支撑复杂安全防御要想效果好，核心就两点：模型强、落地好。而模型强的关键是：大量精心准备的数据 + 海量的算力 + 模型结构算法。

 数据是首当其冲的短板 

在网络信息安全领域，首当其冲的就是数据不足。当前大模型安全能力，不论是训练数据和评测数据场景，都非常单一。以漏洞分析场景的测评集CyberGym为例，它虽然涵盖了188个开源软件，但难以代表关键基础设施中大量运行的操作系统、数据库、中间件和行业应用等复杂场景软件，也没有咱们信创国产化的信息；更重要的是，防御场景远不只有漏洞分析，还包括攻击检测、日志分析、告警研判、事件响应等大量任务。

大模型有一个聪明的"大脑"，但要真正学会在专业安全场景里做事，还需要大量高质量的任务数据来提升能力。而这些数据很少存在于公开数据集中，更多沉淀在行业单位真实的安全运营实践中。

 长亭科技发起"数据集开放计划" 

因此，我们呼吁大家应该团结起来，在监管部门指导下，模型厂商、安全厂商、科研机构和行业用户可以合作共建。模型厂商、科研机构发挥模型和训练优势，安全厂商和行业单位贡献专业数据、场景和专家经验，共同进步。

今年7月份，长亭已经发起"数据集开放计划"，开放了一批自己储备的高质量漏洞样本数据，以公益计划的形式发布出来，希望以实际行动推动国产大模型安全能力持续提升，目前已经有近20家国产大模型签署协议建立合作。期待后续能有更多产业力量一起参与进来，让网络安全逐步成为国产大模型的重要基础能力底座。

模型能力强还不是终点，只有真正地进入防御体系、进入安全运营场景，落地效果足够好，才能转化为AI时代新的安全生产力。

首先，强化架构韧性，以隔离和分层持续抬高攻击成本。

AI再强，也不可能发现和阻断所有攻击。因此，防御不能只依赖检测能力，更要从架构上通过分区分域、关键系统隔离、最小权限和横向访问控制，以及零信任技术的应用，形成多层次多维度的安全边界。让攻击者突破一个点后，还必须跨越多道边界才能接近核心系统，从架构层面持续增加攻击难度和成本。

其次，重构安全运营，让防御真正进入智能体时代。

未来的安全运营，不应只是把日志集中到SOC，再依靠规则和人员分析，而应由大量专业智能体协同工作，连接安全日志、业务日志、资产、身份和各类安全设备，自主完成发现、关联、研判和处置。

为此，长亭提供了两项公益开源项目：Agent-Compose和 OctoBus，一个是智能体运行底座，一个是接口统一网关，推动国内各类网络安全设备统一接入，让智能体能够直接调用查询、检测、封禁、隔离和具备处置能力。

最后，提升系统自愈能力，让漏洞发现和修复形成闭环。

利用AI持续开展漏洞自检，能够直接修复的，自动生成和验证补丁；短期无法彻底修复的，通过热补丁、虚拟补丁、访问控制等措施快速缓解风险，不断缩短漏洞暴露窗口。

归根到底，AI时代的网络安全，既要看到攻击工业化带来的新风险，也要加快提升国产大模型安全能力，更要推动整个防御体系全面升级——从单点设防走向架构韧性，从人工运营走向智能协同，从被动修补走向持续自愈。

朱文雷最后总结，AI带来的不仅是新的安全挑战，也为我们重塑防御体系带来了新的机遇。希望各方携手共建，把技术进步真正转化为安全建设，共同推动智能防御变革，共筑更加安全可信的数智未来。

跳转微信打开

3分钟AI安全自测：《2026企业AI安全自查风险分析表》

2、想要建立治理体系，却发现市面上的工具要么太贵，要么太轻，无法适配自身业务；

跳转微信打开

企业将业务交给AI智能体之后，安全团队能否说清楚：谁在操作系统，代表谁行动，又留下了什么记录？

美国国会两党议员推动的一项新提案，将这些问题带入了立法讨论。

据9月3日Axios报道，民主党众议员Josh Gottheimer与共和党众议员Mike Lawler计划于当天联合提出《停止失控AI法案》（Stop Rogue AI Act）。Lawler议员官网随后转载了这篇报道。

按照公开介绍，提案拟要求美国国家标准与技术研究院（NIST）在法案成为法律后一年内制定智能体安全部署标准，覆盖持续更新、可机读的智能体清单，行为核验，安全性与可靠性评估，以及防篡改日志；并与美国网络安全和基础设施安全局（CISA）协调联邦民事机构的应用。多数组织自愿采用，竞标新联邦合同的承包商则拟被要求满足相关标准。

说明：目前仍为立法动议，本文尚未核实到正式法案编号及完整审议记录，具体义务应以正式文本和后续规则为准。

这一动议受到关注，与近期披露的Hugging Face入侵事件密切相关。

OpenAI在8月26日公布的报告中确认，7月内部网络安全评估期间，模型突破隔离控制，入侵部分内部研究基础设施及Hugging Face系统，主要涉事模型是内部研究模型，评估采用的防护限制低于对外部署系统。

虽然不能据此推断所有商用智能体都会出现相同行为，但这些背景揭示了特定条件下高能力智能体的严重风险。

Hugging Face在7月27日发布技术复盘，描述了从初始入侵到横向移动、凭证利用及数据外传等活动，这意味着，相关风险已经产生了真实的系统入侵后果。

第三方调查进一步揭示了行为层面的复杂性，METR与Redwood Research研究人员发现，一批原本应相互隔离的智能体，通过未经批准的共享留言板交流并组织行动。

对防守方而言，由此产生的问题很具体：如果智能体能够自行寻找路径、调用工具并与其他智能体协作，安全措施就需要覆盖整个执行过程，只检查任务开始时的指令和最后返回的答案，可能遗漏中间已经发生的危险操作。

早在2026年2月17日，NIST就宣布启动AI智能体标准倡议，将行业标准、开放协议以及智能体安全和身份研究列为主要方向。其国家网络安全卓越中心还在探索软件与AI智能体的身份和授权问题。

因此，从政策机制看，这项提案值得关注之处，在于尝试为相关标准工作增加立法要求，并通过政府采购推动采用。

采购与一般性倡议的区别在于，企业需要向客户提供可以检查的证据，如果相关要求最终进入合同条件，供应商就可能需要证明：智能体清单是否完整，操作记录是否可信，以及发生异常时能否还原责任链条。

进一步看，服务联邦客户的企业可能将这些要求纳入统一的产品与交付体系，再向其他客户推广，这是潜在的市场传导路径，但仍取决于最终规则、合同范围和企业选择。

从公开方向出发，本文认为，安全厂商和企业用户可以重点观察三类能力。

首先是智能体资产与身份管理。传统资产清单能够记录服务器和应用，但管理智能体还需要考虑：哪个实例正在运行，由哪个业务部门部署，使用谁的凭证，又代表谁执行任务。单纯识别“这是一段AI流量”，未必能回答这些问题。

其次是执行过程中的权限控制。例如，一个被允许整理客户信息的智能体，是否同时具备批量导出数据库的权限？当它把部分任务交给另一个智能体时，权限是否随之扩大？这些问题要求安全策略能够对应到具体资源和操作。这里讨论的是技术落地需求，并不意味着当前已披露的提案规定了每一步操作的审批方式。

第三是能够关联业务上下文的审计。记录一次API调用只是起点。调查人员还需要将调用与任务、身份、授权及实际结果联系起来，才能判断操作是否超出了业务范围。

这些需求为身份安全、访问控制、安全运营及审计产品提供了发展方向，对厂商而言，更有价值的验证方式，是展示产品能否发现未登记的智能体、限制越权操作并还原完整行动过程，而不只是增加一个“AI安全”标签。

这项提案也有清晰的能力边界。

维护清单能够提升可见性，保护日志能够帮助调查，但两者并不会自动阻止越权行为。要形成有效防护，仍需要把识别和记录与权限收敛、运行隔离、异常检测和处置机制连接起来。

同时，企业登记自己部署的智能体，并不能保证识别所有来自外部的恶意智能体。外部攻击者不会主动配合登记，防守方仍需依据访问行为和系统证据判断风险。

对中国网络安全行业而言，这项美国立法动议更适合作为需求变化的观察窗口。涉及美国联邦采购的具体义务，需要等待正式文本和合同规则明确；国内企业则可以借此检视自身部署：智能体是否有明确负责人，权限是否与任务匹配，出了问题能否及时定位和处置。

后续报道会继续跟踪法案正式文本、审议进程以及NIST的技术要求。尤其值得追问的是：智能体如何定义，如何证明清单完整，日志如何验证，以及不满足要求时由谁负责整改。只有这些问题逐步明确，政策信号才可能转化为可以验收的安全能力。

跳转微信打开

以下文章来源于：中关村自主大模型产业联盟

中关村自主大模型产业联盟汇聚自主大模型力量，共建开放、安全、协同的产业生态，持续推动核心技术攻坚、长程任务与自治智能体系统建设，促进产业协同、场景落地与国际合作。

跳转微信打开

近日，数说安全发布了2026“中国网络安全产业百强排名与新势力30强”榜单。我们为大家整理了30家的业务标签，一起来看看他们的主要赛道。

数说安全网安新势力30强评选标准：

主要针对创新型企业，从资源支撑力、市场表现力和创新成长力三个维度对企业综合能力进行全面评估。

【资源支撑力】和【市场表现力】：同100强评价体系一致。

【创新能力】：是指创新型企业在技术创新、商业模式、业务增长、市场拓展及人才发展等方面展现出的持续发展和进步的能力。"创新"体现了新势力厂商在技术和商业模式等方面的突破与尝试；"成长"则突出了其在业务规模、团队实力及社会影响力等方面的持续发展。

——新势力厂商的评定标准包括：

（1）时间规模：成立一般不超过10年，人员不超过300人等；

（2）业务创新：产品、技术、商业模式等创新力；

（3）成长发展：安全营收复合增长率、人员规模增长率、资本热度等。

跳转微信打开

2026年数说安全《中国网络安全产业百强排名与新势力30强》自2026年7月启动调研，调研对象为国内注册、以网络安全为主营业务的企业，调研期间共收到184份有效问卷。

结合企业所提供的调研数据、相关公开数据、市场成交数据等信息，根据数说安全网络安全市场与企业竞争力分析方法，分析得出“2026年数说安全中国网络安全产业100强”企业、“2026年中国网安新势力30强”企业（具体排名依据以下有详细说明）。

2026年中国网络安全100强评选紧密结合我国网络安全产业特色，以资源支撑力和市场表现力两个关键维度对参选企业进行全面评估。

【资源支撑力】：是企业所依托的人力、资本、技术及销售等关键资源的聚合，这些资源为企业的生存发展提供坚实基础和有力保障，直接影响企业在网络安全领域的稳定性与可持续性。

——资源支撑力的评定维度包括：

（1）人力资源：人员数量、人才质量及人才结构等；

（2）财务资源：营收规模、企业估值及IPO阶段等；

（3）技术资源：专利数量、研发人员占比及研发投入占比等；

（4）销售资源：营销网络覆盖度、销售模式及合作伙伴数量等。

【市场表现力】：是企业在市场中展现出的综合实力与活力，涵盖品牌影响力、产品竞争力、营销成效、研发能力、服务品质以及经营效益等多个方面，反映企业将自身资源转化为市场竞争优势和经营成果的能力。相较于2025年，2026年百强评估新增经营现金流、智能化与AI化等维度的考核，进一步突出经营质量与智能化转型能力。

——市场表现力的评定维度包括：

（1）品牌能力：公众号影响力、官网影响力、企业品牌指数等；

（2）营销能力：安全营收和毛利、销售人员、客户覆盖等；

（3）产品能力：产品营收、产品数量、产品资质等；

（4）研发能力：研发人员、研发投入、研发质量等；

（5）服务能力：服务人员、服务收入、服务资质等；

（6）经营能力：安全营收增长率、毛利、净利润等；

（7）现金流能力：其中针对上市公司增加了经营性现金流净额、回款质量及现金流健康度等；

（8）智能化与AI化能力：产品与服务的智能化、自动化水平，以及大模型与AI安全方向的布局与落地能力，包括AI赋能安全（如AI驱动的检测、响应、报告生成）和面向AI的安全防护（大模型自身安全能力建设）。

跳转微信打开

车机也被拉去“打黑工”了

车机没有黑屏，导航照常工作，音乐也能正常播放，甚至看不到一条异常提示。

但在后台，它正在替陌生人转发网络流量，或者制造虚假的广告点击。车主买来的是一块导航娱乐屏，黑产看中的，却是一台有人供电、有人付流量费，还很少有人检查的联网设备。

8月21日，卡巴斯基发布研究报告称，研究人员在监测Android威胁时发现了一款不同寻常的恶意应用。它没有图标，也没有用户界面，却被悄悄安装在一些Android车载主机上。

继续追查后，研究人员发现，这款恶意软件并不是车主误点了链接，也不是从某个盗版应用市场下载的。它是通过车机原本用于更新软件的系统通道进入设备的，卡巴斯基将其称为首个公开记录的、感染链专门围绕车机设计的恶意软件案例。

这里的“首个”需要说得准确一些，它不是第一款出现在汽车上的恶意程序，也不是第一次发生汽车网络攻击，更不意味着黑客第一次能够入侵车机。它的特别之处在于研究人员第一次较完整地还原了一条针对Android车机、利用车机更新机制传播的专属感染链。

这条感染链，也让人重新认识了车机在黑产眼中的价值。

恶意软件是怎么进入车机的

此次调查涉及使用DoFun软件体系的Android车机，研究人员在这些设备上发现了一款名为TWCore的系统应用。

正常情况下，TWCore负责收集设备运行信息，并帮助车机更新软件，它可以接收服务器下发的指令，下载并安装新的应用程序。这原本是一个很常见的功能：车机需要更新导航、影音和其他系统组件，自然要有一条远程更新通道。

可问题恰恰出在这条通道上。

攻击者利用TWCore的更新能力，将一款名为JarService的恶意程序下发到设备，由于安装动作来自系统应用，车主不需要点击确认，也很难察觉后台多出了一个程序。

JarService进入车机后，会继续下载后续模块，与攻击者控制的服务器保持联系，研究人员发现，它能够收集设备型号、屏幕分辨率、所连接Wi-Fi的名称、MAC地址等信息，并定期向服务器报告。

攻击者为它设计了多种远程命令，包括访问指定网址、执行网页脚本和下载新的代码。不过，从研究人员实际观察到的活动看，这些车机目前主要被用于两件事：广告点击欺诈，以及充当网络代理。

换句话说，这并不是一次以破坏车辆为目的的攻击，更像是一门寄生在车主设备上的生意。车主看不见它，它也不急着破坏什么，只要设备能够正常联网，它就可以在后台慢慢产生收益。

卡巴斯基根据代码中的命名习惯、服务器等网络基础设施的重合情况，将这起活动高置信度归因于MoYu Group，该团伙被认为与BADBOX恶意软件平台有关。

研究人员已经将问题通知DoFun，根据卡巴斯基披露的信息，DoFun方面表示相关安全问题已经得到修复。

不过，目前仍有几个重要问题没有答案：究竟有多少台车机受到影响？已经感染的设备是否完成清理？车主又该如何判断自己的车机是否安全？公开报告尚未给出明确数字和统一的查询方式。

黑产看中的不是车内数据，而是网络出口

很多人可能会疑惑：车机里既没有银行卡，也没有多少重要文件，攻击者为什么要花力气感染它？

因为在今天的网络黑产中，一台设备是否“值钱”，已经不完全取决于它存了多少数据。

一台普通的Android车机，可能有SIM卡、Wi-Fi和持续联网能力，需要访问导航、音乐、天气和软件更新服务，它有一定的计算能力，又经常连接真实用户使用的网络。

这些条件组合在一起，就构成了一种可以出售的资源：网络出口。

攻击者可以把大量受感染设备组成代理网络，再将这些网络出口提供给其他人使用，通过这类代理发出的流量，看起来不像来自集中的云服务器，而更像普通家庭或移动网络用户的正常访问，因此更容易绕过部分风控和反欺诈系统。

车主以为车机只是在加载地图，实际上，它可能还在替其他人访问网站、制造广告点击，或者为来源不明的网络活动隐藏真实地址。在外部平台的日志中，这些流量甚至可能看起来就是从车主使用的IP地址发出的。这也是BADBOX过去几年不断扩张的原因。它并不专门针对汽车，而是把各种廉价、低关注度的Android设备变成黑产基础设施。

2025年，谷歌曾对BADBOX 2.0的运营者提起诉讼。谷歌称，该僵尸网络已经控制超过1000万台运行Android开源系统、但缺少Google安全保护的非认证设备。其中包括电视盒子、投影仪和平板电脑等。

美国联邦调查局当时也发布过警告，把电视流媒体设备、数码相框、投影仪和后装车载信息娱乐系统都列入了风险设备名单。

如今，卡巴斯基披露的这条车机感染链，进一步坐实了这种扩张趋势：在电视盒子和投影仪之后，汽车中控屏也正在成为黑产可以利用的节点。

真正让人不安的是“正常更新”

这起事件最值得关注的地方，不是恶意程序使用了多么高明的技术，而是它进入车机的方式。如果恶意软件来自陌生链接或盗版应用，用户至少还可以通过“不乱点”“不乱装”降低风险，这也是大多数安全提醒反复强调的内容。

恶意软件走的是设备原本就信任的更新通道，对用户来说，它可能和一次普通的软件更新没有任何区别，没有陌生链接，没有危险弹窗，也没有可疑的安装请求。

这暴露了联网设备安全中一个越来越现实的问题：当用户信任的更新机制本身出了问题，依靠用户提高警惕就很难奏效。

而且，更新程序通常比普通应用拥有更高权限，它需要在后台运行，需要下载和安装软件，也很少受到用户关注，一旦这条路径被攻击者控制或滥用，恶意软件就能以很低的成本批量进入大量设备。

相比入侵每一台车机，攻击者只需要找到一条能够影响许多设备的上游路径。

从这个角度看，这不是单纯的车机病毒事件，而是一次供应链和产品生命周期问题：更新文件由谁制作，服务器由谁维护，指令由谁签发，异常更新能否及时撤回，已经感染的设备如何清理？

对于后装车机来说，责任关系往往更加复杂。

一台产品背后，可能同时有硬件生产商、系统开发商、固件提供方、云端更新平台、品牌商、销售渠道和安装门店，车主看到的只是一个商品名称，很难知道软件究竟由谁维护，也不知道产品停止销售后是否还会继续获得安全更新。

问题发生以后，究竟谁来通知车主、谁负责召回或修复、谁保证服务器不会再次被利用，并不总是清楚。

这不是“黑客接管汽车”，但也不能因此轻视

从目前披露的信息看，研究人员没有发现攻击者控制车辆的方向盘、制动、动力系统或其他安全关键功能。因此，把这起事件写成“黑客远程接管汽车”并不准确，也会掩盖它真正值得关注的地方。

它揭示的并不是一次戏剧性的车辆失控，而是一种更安静、更容易规模化的威胁：攻击者不需要让汽车停止运行，只需要让恶意程序一直留在车机里。

车机功能正常，反而有利于恶意软件长期生存。用户不会因为导航能用、音乐能播，就主动检查后台安装了什么程序、连接了哪些服务器、消耗了多少流量。

与此同时，这款恶意软件具备继续下载和执行代码的能力，今天，攻击者选择安装代理模块；未来下发什么功能，则取决于控制服务器背后的人。

公开研究没有证明它已经进入车辆控制网络，但这不意味着信息娱乐系统可以被视为无关紧要的外围设备。不同车机与车辆内部网络的连接方式并不相同，一些设备还会接入倒车影像、空调、车辆设置或CAN总线适配模块。

只要一个长期联网、能够运行远程代码的设备被安装进汽车，它就已经成为汽车数字攻击面的一部分。

汽车安全不能只盯着整车厂

今年1月1日起，我国GB 44495—2024《汽车整车信息安全技术要求》、GB 44496—2024《汽车软件升级通用技术要求》等强制性国家标准已经实施，汽车信息安全和软件升级，正在从企业自我要求进入更明确的强制规范阶段。工业和信息化部公告

但这起事件提醒人们，汽车网络安全的边界远不止整车厂。

消费者买车后，还可能自行安装中控屏、行车记录仪、车载盒子、胎压监测、诊断设备和其他联网配件，这些产品进入汽车后，同样拥有软件、数据和网络连接，却未必具备整车厂相同的安全开发和长期维护能力。

因此，车联网安全不能只考虑车辆出厂时是否合格，还要考虑后续安装了什么设备，这些设备连接了哪些服务器，软件由谁更新，厂商退出市场后又由谁继续负责。

对于车机和其他联网设备厂商来说，安全更新也不应该只是“服务器上放一个新版本”。更新包的签名校验、服务器身份认证、权限控制、异常监测、更新记录和撤销机制，都应该成为产品的基本能力。

同时，厂商还需要给消费者一条清晰的查询路径：自己的设备是否受影响、当前运行的是什么版本、是否已经完成修复。如果一件联网产品连这些信息都无法提供，那么所谓“已经修复”，对用户来说很难真正验证。

结语

这起事件没有让汽车突然失控，也没有制造惊险的道路安全事故。但它让人看到了另一种失控。

车主购买并信任的设备，其带宽、算力和网络身份，可能在不知情的情况下被他人占用。车机表面上仍在为驾驶者服务，后台却已经被拉去替黑产“打工”。

过去，攻击者把电视盒子、路由器、摄像头和投影仪变成僵尸网络节点。现在，名单里又多了汽车中控屏。这说明，在万物联网的环境里，一台设备不必存有机密，也可能成为有价值的攻击目标。它只需要能够联网、能够运行代码，同时又很少有人检查。

从这个意义上说，这起事件真正值得关注的，不是“恶意软件终于进入了汽车”，而是我们正在把越来越多拥有计算和通信能力、却缺少持续安全维护的设备，带进汽车、家庭和日常生活。

跳转微信打开