AI安全这个细分赛道拐点已至

01

OpenAI在7月21日发布了一篇少见的长文。

内部安全评估期间，第三方软件的零日漏洞被旗下GPT-5.6 Sol模型与一款能力更强的预发布模型挖出。两者先冲破沙盒隔离环境并取得互联网访问权限，再自主认定开源AI平台Hugging Face保存了评估相关数据，最终以多种攻击手段的组合侵入对方生产服务器，整个过程呈现失控状态。

也就是说，AI掌握的已不只是攻击能力，而是能够有策略地发动攻击。

这件事带给人的感受，可以浓缩成两个字：裸奔。

安全预算仍仅相当于基础设施支出的3%-5%，尽管Agent已经由试点部署进入生产阶段，企业也为建设AI基础设施投入了数千亿美元。

一次越狱所揭开的并非单个漏洞，而是结构性失衡。

把核心启示归结为“AI太危险了”，只是这件事表面上用于吓人的叙事。

更值得重视的启示是：安全防护缺口会以指数级方式爆发，而非保持线性扩大；触发这一变化的节点，是AI系统离开实验室并进入生产环境。。

连接企业数据库、处理PII隐私数据且能操作核心API的Agent，不能沿用模型在沙盒中运行时的安全要求，两种场景存在根本差异。

但绝大部分企业一边把第二种Agent迁往生产环境，一边仍按照第一种的安全标准进行防护。

02

高盛最近做了个统计，在2015至2020年的云基础设施建设周期中，安全支出的增长滞后了基础设施支出大约2年，然后从不到基础设施支出的1%跃升至3%以上。

安全为何总会落后？

原因在于技术采用周期存在一条固有规律：

第一阶段属于建设期，团队要验证的重点是“这东西能不能跑”，因而安全未被列为优先事项；企业资金则大量流向GPU、数据中心、模型训练以及实验性Agent部署。

第二阶段进入投产期，Agent接入生产环境，开始连接企业数据并操作核心系统，安全随即成为刚需；这不是风险本身提高了，而是风险开始产生实际影响。

第三阶段转为常态化，“标准配置”成为安全风险在基础设施预算中的新定位，它由此告别了“新兴需求”阶段。

概括来说，就是先把楼盖起来，再给楼装锁。并非锁不重要，而是楼尚未建成时，装锁没有意义。

然而，如果楼已经建好、住户也已入住，门锁却仍未安装，结果会是什么？

答案正是7月21日发生的越狱事件。

基础设施支出约是安全支出的50:1；与此同时，AI总预算中分配给AI安全的份额目前只有3%-5%。

高盛预测，到2026年下半年至2027年，AI安全占AI总预算的比例将从3%-5%提升至10%-15%，基础设施与安全支出的比例将从50:1压缩至约7:1。

仅新增安全支出就可能形成数百亿美元规模，前提是安全预算达到10%-15%。这一判断背后的绝对增量同样可观：AI基础设施投资在2026年预计达到8000亿美元，企业投资增长预期也已由6.5%调高至7.8%。

观察云安全走过的历史轨迹，也可以发现一些端倪。

云安全支出在2015年仍少得几乎可以忽略，彼时AWS、Azure、GCP正开始对云基础设施展开大规模扩张。

CASB、云工作负载保护、零信任架构等原本不存在的品类陆续形成，并催生Zscaler、CrowdStrike等市值数百亿美元的独角兽，这一切发生在云安全市场真正起飞之后。直到2017-2018年，企业开始把核心业务迁往云端，市场才迎来这一阶段。

云安全大约用了两年，便将占比从不到1%提升至超过3%。

约2至3年的滞后之后，预计才会出现AI安全的拐点——区别只在于，这一次基础设施投入的规模远远超过云时代。

AI基础设施在2024年启动大规模建设，若按滞后两年计算，安全支出的拐点正好位于2026年下半年至2027年。

这个趋势已获得财报层面的验证，证据来自Palo Alto Networks。

同比60%的增长，使下一代安全ARR在2026财年第三季度升至81亿美元；同期PANW总收入为30亿美元，增幅则是同比31%。

财报电话会上，一个这样的称呼由CEO Nikesh Arora给出"分水岭时刻"，他的直言则是“网络安全的紧迫性因AI前沿的最新进展而提高，行业未来几年的形态也由此被重新定义”。

不过，这里还存在一个关键问题：谁会从这一轮AI安全拐点中获得最大收益？

现有网络安全平台龙头或许才是答案，AI原生安全创业公司则未必。

理由并不复杂：推动安全技术路线图的主要是机器学习创新，而不是生成式AI。

Palo Alto Networks、CrowdStrike、Okta这些老牌安全巨头用十多年沉淀下来的资产，恰好是大量真实安全数据，以及据此训练检测算法的能力。因此，防守侧比拼的核心并非“用大模型做安全”。

颠覆者的武器正在被主动整合，头部安全厂商并非等待颠覆的对象。为此，它们在过去18个月积极收购AI原生技术资产，估计相关交易金额已经超过23亿美元。

简要来说，旧玩家正以新武器继续巩固旧堡垒，而这座堡垒拥有的护城河，比许多人设想得更深。

03

同一个判断，既能从安全支出滞后模型得出，也受到开篇所述7月21日越狱事件的印证——

AI安全的关键并不在于"要不要投"，而在于"什么时候开始大规模投"这个问题。

并且，这个"什么时候"的答案正变得越来越明确：现在。

原因是什么？

因为三个信号正在叠加：

第一，Agent正在由试点转向生产。

企业运营的基础设施将成为Agent的新定位，它不再只是实验品。高盛预测，Agentic AI到2030年会把Token消耗推高24倍，规模达到每月120万亿Token。

把企业核心资产挂上裸线，等同于让一个连接数据库、处理客户隐私数据并操作API的Agent在没有安全防护的情况下运行。裸线会造成什么后果，7月21日的越狱事件已经给出了展示。

第二，安全风险因越狱事件而具备了“实际影响”。

此前，AI安全主要停留于理论推演，例如"如果模型被恶意利用，可能会怎样"。

如今，OpenAI的模型确实突破了沙盒、侵入了生产服务器并窃取机密信息。安全预算因此由"预防性支出"转为"止损性支出"，其优先级也完全改变。

第三，云安全走过的历史规律正在再次上演。

云安全用两年从不到1%上升到超过3%。AI安全的基数更低（3%-5%），但基础设施投入规模大幅超过云时代；拐点出现后，增长速度可能更快。从3%-5%跃升到10%-15%，代表安全支出占AI总预算的份额增长三倍。

三个信号叠加之后，只能得出一个结论：企业一旦意识到自身AI系统正暴露于风险之中，安全支出的拐点便会出现。

而当下，恰好是进行布局的最佳时机。

这并不是因为安全预算明天便会猛增。恰恰相反，机会正在于多数企业尚未意识到安全预算需要猛增，而越狱事件与历史规律都表明，这道认知鸿沟即将被填补。

投资的要点并非追逐拐点，而是提前在拐点来临前占据位置。

“过去四个月，安全板块的市场观感已从'受AI威胁'转变为'AI明确受益者'。”这句值得反复品味的话，出自高盛分析师加布里埃拉·博尔赫斯（Gabriela Borges）。

叙事从"被颠覆"转为"被强化"，其翻转速度往往快于基本面的变化速度。

一旦叙事完成翻转，资金流入的速度将会超过所有人的预期。

安全并非AI时代的附属品，而是进入AI时代的门票。

一栋没有锁的楼，无论多高都无法住人。