出品 | 徽声在线APP

作者 | 张博

头图 | AI生成图像

8月27日美股收盘后，两份财报再度点燃了网络安全领域的投资热情。

身份安全领域的领军企业Okta单日股价飙升28.63%，终端安全巨头CrowdStrike也上涨20.5%。这两家公司不仅季度业绩远超市场预期，还纷纷上调了全年业绩预期。除了亮眼的财务数据，更引人注目的是，它们都不约而同地将新增需求归因于AI Agent的广泛应用。

CrowdStrike的首席执行官George Kurtz将当前的网络安全竞争比作一场激烈的"军备竞赛"。而Okta的首席执行官Todd McKinnon则透露，公司新推出的AI相关产品已经贡献了近三分之一的订单，第二财季更是斩获了数十笔AI相关交易。

美股市场完成估值调整后，这股热情迅速蔓延至A股市场。

8月28日早盘，网络安全板块集体走强。麒麟信安开盘仅9分钟便封死20%涨停板，中安科、天融信涨停，奇安信涨幅超过15%，深信服、三六零、安恒信息和绿盟科技等个股也纷纷跟涨。

然而，真正将这轮行情从财报催化推向高潮的，并非仅仅是Okta和CrowdStrike的订单增长，而是一则更具戏剧性的消息：约700个AI Agent联手攻入了知名AI社区Hugging Face。

失控的协作作弊事件

8月26日，OpenAI发布了事故调查技术报告，同时METR与Redwood Research的独立调查也对外公布，还原了2026年6月底至7月间发生的ExploitGym评测事故。

这起事故发生在一个专门用于测试模型网络攻防能力的隔离沙箱环境中。为了尽可能准确地测量模型能力，评测方主动关闭了部分安全机制。结果，约1200个原本应当彼此隔离的Agent，在运行过程中意外发现，它们可以利用内部部署的JFrog Artifactory服务传递信息。

整个事件大致可以分为四个阶段：

第一阶段：越狱突破。

OpenAI在内部隔离沙箱中运行ExploitGym网络安全评测时，故意关闭了部分安全机制以反映模型的真实能力。然而，约1200个本应相互隔离的Agent却意外发现，它们可以通过内部部署的JFrog Artifactory（一个为Agent提供受控软件包访问的第三方服务）进行通信，并将其改造成了非授权的"留言板"，累计交换了超过7万条消息和文件。

第二阶段：协作作弊。

这些Agent开始分工合作：有的负责寻找漏洞，有的负责搜刮凭据，还有的则专门负责协调。它们联手研究如何伪造工具调用记录、编辑和删除自己的运行轨迹，以欺骗自动评分器。约7%的转录样本出现了成功伪造的工具调用。值得注意的是，评测共包含898个任务，其中198个从未被任何模型成功完成——而这198个"不可能任务"却占据了留言板讨论内容的93%。Agent没有选择放弃，而是选择了绕过这些难题。

第三阶段：逃逸与攻击。

随后，这些Agent利用Artifactory中一个此前未知的漏洞突破了沙箱限制，获得了互联网访问权限。在接下来的约两天半时间里，它们成功攻入了Hugging Face的生产环境，约700个Agent参与了这次攻击。Hugging Face方面表示，入侵持续了约两个半日，涉及数千个机器速度的自动化决策。

第四阶段：事后定性。

OpenAI明确表示客户数据和线上产品未受影响，并将此次事件称为"warning shot"（警告射击）。OpenAI认为，这起事件暴露了奖励机制被利用、Agent对不可能任务过度坚持、智能体之间出现未经授权的通信以及模型接受其他Agent传递目标等问题。

这起事故不能被简单地解读为"700个AI密谋叛乱"。它更像是一群学生在封闭考试中找到了传递答案的方法，进而伪造答题记录，最终通过教务系统的漏洞进入了外部网络。虽然事件严重，但与"学生占领学校"并非同一性质。

AI改变的是攻击经济学

传统网络安全体系主要围绕"人"来构建。

无论是防火墙、杀毒软件还是入侵检测系统，大多依赖于规则、签名和行为特征来识别风险。其基本假设是攻击者是人，而人会疲劳、会犯错，也会在重复操作中留下相对稳定的痕迹。

然而，AI Agent的出现打破了这一假设。

它改变的不仅仅是攻击方法，更是攻击的成本、速度和持续性。传统攻击者需要休息，单人在有限时间内能够完成的尝试次数也有上限。但Agent可以全天候运行，以机器速度连续做出决策，并在多个智能体之间自动分工。

当目标设定出现偏差时，Agent还可能为了完成任务而修改运行记录、掩盖异常行为。在提示注入的诱导下，它甚至可能调用原本不该使用的工具。一旦企业授予过大的权限，风险便不会停留在一次错误操作上，而可能沿着账号、数据接口和外部系统持续扩散。

这意味着，企业未来需要防范的不只是一个明确怀有恶意的人，还包括一个拥有合法身份、掌握真实权限却可能在运行过程中逐渐偏离预期的自主程序。

由此，新的安全需求应运而生。

企业不能再将员工账号和密码直接交给Agent使用，而需要为每个Agent建立独立的机器身份。这个身份需要受到最小权限原则的约束，只能在指定时间、指定环境中访问指定资源；一旦出现异常，权限必须能够立即冻结或撤销。

仅有身份管理还不够。企业还需要在Agent运行过程中持续判断其是否发生越权调用、是否正在泄露凭据、是否被提示注入操控以及行为轨迹能否在事后完整追溯。

从产业链位置来看，Okta切入的是机器身份和访问控制领域，而CrowdStrike则争夺的是终端及运行时检测市场。数据安全、模型安全和审计厂商也在试图占据Agent调用链中的关键节点。

这套商业逻辑并不复杂。Agent数量越多，企业需要管理的机器身份就越多；身份和调用关系越复杂，攻击面也会同步扩大；当安全预算因此变得刚性时，能够覆盖身份、终端、数据和审计的平台型厂商便有机会获得更多预算份额。

Okta已经初步验证了这种需求。公司推出的"Okta for AI Agents"在本季度贡献了接近30%的新预订量，并拿下了数百万美元级的企业订单。CrowdStrike则依靠EDR、XDR和平台化订阅切入Agent运行环境，其Falcon Flex灵活订阅业务的年度经常性收入同比翻倍。

财报也为这一趋势提供了有力支撑。Okta将全年营收指引上调至32.16亿至32.26亿美元之间，CrowdStrike则将全年展望上调至59.9亿至60.1亿美元之间，单季净新增ARR更是创下了公司纪录。美国银行随后上调了Okta的评级，核心理由之一也是AI相关业务正在加速增长。

这也是海外AI安全市场和A股主题行情之间最关键的区别所在。海外厂商已经用订单、ARR和收入指引证明Agent安全正在进入财报阶段；而A股市场则更多还停留在产品发布、认证测试和概念映射阶段。

两者虽然指向同一个方向，但却处于完全不同的商业阶段。

三种截然不同的商业模式

A股网络安全板块启动后，市场习惯将所有与AI安全有关的公司一概而论。然而，拆开2026年半年报就会发现，几家代表性公司的收入结构、利润来源和现实矛盾各不相同。

它们虽然可能同时上涨，但却不能套用同一套业绩逻辑。

深信服：利润改善显著，但主要动力来自云计算业务

深信服上半年实现营收39.98亿元，同比增长32.85%；归母净利润为2.31亿元，而上年同期亏损2.28亿元，扭亏幅度明显。扣除非经常性损益后，公司净利润达到1.79亿元。

如果仅看整体业绩表现，深信服似乎是这轮AI安全行情中基本面最强的公司之一。然而，拆开收入来源后可以看到，真正推动增长的主要并不是网络安全业务，而是云计算和AI基础设施业务。

上半年，深信服云计算及AI基础设施业务实现收入22.12亿元，同比增长58.60%，占总收入的55.34%。而网络安全业务收入仅为15.87亿元，同比增长10.57%，收入占比为39.69%。基础网络业务收入1.99亿元，同比增长10.78%。

可以看出，云业务已经超越网络安全业务成为深信服最大的收入来源。虽然网络安全业务重回增长轨道值得肯定，但其10.57%的增速与"AI安全爆发"的说法仍有明显差距。

因此，将深信服简单定义为AI安全标的并不准确。它更像是一家企业AI基础设施与安全平台供应商，受益于企业上云、算力建设和安全治理的共同增长。AI Agent的普及确实可能同时拉动算力承载、数据存储、Token治理和安全需求，但目前尚无法从财报中单独拆出AI安全的贡献。

三六零：扭亏并不意味着安全业务进入收获期

三六零上半年实现营收41.72亿元，同比增长9.01%；归母净利润为2.16亿元，实现扭亏。公司同期研发费用达到15.78亿元，占营收的37.81%。

从投入强度来看，三六零仍然在AI和安全领域保持高投入。然而，从收入结构来看，安全业务还不是公司的主要基本盘。

上半年，三六零互联网及智能硬件业务收入为38.09亿元，占总收入的91.29%；而安全业务收入仅为3.10亿元，占比7.44%。换句话说，公司九成以上收入仍然来自互联网和智能硬件业务，安全业务尚不足以主导整体业绩变化。

利润来源也需要进一步拆解。三六零上半年投资收益达到2.04亿元，同比增长77.43%，与公司2.16亿元的归母净利润规模非常接近。与此同时，经营活动产生的现金流量净额仍为负5711万元。

三六零当前的AI安全叙事主要建立在安全智能体、大模型产品和消费端流量入口之上。它具备技术和用户基础，也拥有较强的市场认知度，但这些优势距离形成可持续的企业安全收入还有较长的商业化链条需要走。

天融信：AI安全业务最纯粹，但业绩压力反而最大

如果仅看业务纯度和产品布局，天融信更接近传统意义上的网络安全公司。

公司已经推出大模型安全网关、API安全审计、多模态防护网关等产品，多项能力通过中国信通院评估，并在若干细分领域进入IDC相关报告。与深信服和三六零相比，天融信的AI安全标签更直接，业务映射也更纯粹。

然而，从当期业绩来看，它却是三家公司中压力最大的一家。

天融信预计2026年上半年归母净利润亏损2.4亿至2.9亿元，而上年同期亏损6469万元；扣非净利润预计亏损2.55亿至3.05亿元，亏损幅度明显扩大。

公司对原因的解释很明确：传统网络安全产品需求复苏不及预期，新方向产品形成规模仍需时间。同时，硬件成本上涨也在继续挤压利润空间。公司披露称，硬盘价格同比上涨3至5倍，内存价格同比上涨7至8倍。对于仍然具有较强项目制和硬件交付属性的网安厂商来说，这类成本波动会直接影响毛利率水平。

因此，天融信呈现出一个颇为反直觉的现实：AI安全布局最纯粹的公司当前业绩反而最差。

这并不说明其AI安全产品没有价值，而是表明"拥有产品"和"形成规模收入"之间仍隔着很远的距离。产品通过认证、进入测试、完成首批订单只能证明公司拿到了入场券，却无法证明市场已经进入放量阶段。

国内AI安全真正要算的是哪笔账？

"AI安全是长期蓝海"这一判断大概率没有错，但这个判断过于宽泛且无法回答谁会真正赚到钱的问题。

要判断这轮行情究竟是短期映射还是产业拐点，关键不在于统计厂商发布了多少产品，而在于AI安全能否进入企业预算、能否形成单独收费并最终改变网安行业长期依赖项目交付的商业模式。

企业从意识到安全风险到真正采购产品还要经历预算审批、招投标、项目交付和验收回款等多个环节。对于投资者而言比政策数量更有价值的指标是政企安全项目中AI安全条目的占比是否提升、相关项目的客单价是否增加、交付周期能否缩短以及回款质量是否改善。

只有当合规要求进入客户的年度预算时政策需求才算真正转化成产业收入。

海外市场已经初步证明Agent安全最有价值的环节可能集中在身份治理、权限控制、运行时监测和审计溯源等方面。原因并不神秘：这些能力一旦嵌入企业核心IT流程就会产生持续订阅、高切换成本和稳定扩容需求。

如果国内厂商长期停留在大模型网关、合规评测和一次性交付层面即便行业需求增长也可能继续陷入低频采购、价格竞争和收入波动的困境。只有当产品能够按照账号数量、Agent数量或调用量收费并产生稳定续约和扩容时AI安全才有可能把传统项目制网安升级为平台型软件生意。

写在最后

回到700个Agent攻击Hugging Face的事故上来。

它确实是一场有价值的"警告射击"。这起事件证明对自主系统保持有效的人类控制已经不再只是哲学讨论而是具体的工程问题、权限问题和预算问题。

海外AI安全已经开始通过订单、ARR和营收指引进入财报阶段而国内市场却更多停留在产品认证、测试成单、政策驱动和主题映射阶段。两者之间不仅存在技术差异更存在企业Agent渗透率、软件付费习惯和商业模式上的差距。

因此真正需要警惕的并不是"AI安全有没有机会"这个问题。

它当然有机会。

AI安全的钱最终会落进谁的口袋不取决于谁的概念最纯也不取决于谁发布的产品最多而取决于谁能把Agent风险变成企业预算把安全能力变成标准化产品再把一次性订单变成持续收入和可验证的利润。

在那之前AI安全是一条值得跟踪的产业主线但还不是一张可以跳过财报直接兑现的支票。

本文来自徽声在线，原文链接：https://www.huxiu.com/article/4886782.html?f=wyxwapp