如果只看增速，2026 年的"AI 安全"像是一门显学：Gartner 估计，全球 AI 网络安全支出从 2025 年的约 259 亿美元跃升到 2026 年的约 513 亿美元，同比增幅接近 98%——差不多翻倍，远超全球 AI 整体约 47%的年增速。单看这个数字，你会以为企业终于认真起来了。
但把这块蛋糕放回整张餐桌上，画面立刻变了。同一年，全球 AI 软件支出约 4,525 亿美元，是"保护 AI 的安全支出"的近 9 倍。换句话说，企业每在 AI 能力上花 9 块钱，只肯拿出大约 1 块钱来防它。而更微妙的是，这本就单薄的一块钱里，大头还没花在真正代表未来风险的方向上。
一、先看全景：98% 的增速，摊薄成 11% 的占比
Gartner 在 2026 年 9 月更新的这份分项预测，把"AI 的钱都花在哪"拆得很细。我们挑出与安全最相关的几行（单位：百万美元）：
| 市场分类 | 2025 | 2026 | 2027 |
|---|---|---|---|
| AI 总支出 | 1,786,671 | 2,670,460 | 3,637,292 |
| AI 基础设施 | 981,920 | 1,484,397 | 1,977,685 |
| AI 软件 | 288,168 | 461,637 | 656,353 |
| AI 网络安全 | 25,920 | 51,347 | 85,997 |
| AI 智能体与助手 | 16,481 | 29,219 | 65,472 |
三个事实一目了然：①AI 网络安全确实是所有分项里增速最猛的之一（2025→2026 翻近一倍，2026→2027 再增约 67%）；②但它的绝对体量小得可怜——513 亿对 4,616 亿的 AI 软件，占比约 11%,对 2.67 万亿的 AI 总支出更是零头；③同期"AI 智能体与助手"支出正从 292 亿冲向 655 亿（三年翻四倍），而这恰恰是攻击面扩张最快的一层。
把②和③并在一起看，就是这道账最刺眼的地方：企业正在以每年翻倍的力度采购"会自己动手干活"的 Agent，却只用不到其十分之一的预算去约束这些 Agent 的行为。能力曲线的斜率，和安全防线的斜率，根本不在一个数量级上。
二、更关键的问题：那一块钱，也没花在刀刃上
如果 513 亿真金白银都投向了"防止 Agent 越权、防提示注入、审计工具调用"这些新风险，那比例低一点也认了。但现实是，这笔钱的投向存在严重的"名不副实"。
Gartner 单独切出了一个叫 Securing AI（保护 AI）的市场——专门指 AI 应用安全、AI 使用控制、AI 治理平台、AI Gateway 这类为 AI 时代新造的产品线。它的规模是多少？2026 年预计仅约 28.35 亿美元（另一口径给出 2026 约 28 亿、2028 增至近 77 亿、年复合增速约 65%）。也就是说，在近 513 亿的"AI 网络安全"大盘里，真正冲着"保护 AI 本身"去的，只是其中很小一块；绝大部分预算，仍然被传统安全厂商的"智能化包装"和基础内容合规拿走了。
这就形成了一个双重错配：第一重，AI 软件 : AI 安全 ≈ 9 : 1，总量不够；第二重，在有限的 AI 安全预算里，投给"老问题（网络边界、内容合规）"的多，投给"新问题（Agent 行为、系统防护）"的少。钱既没花够，也没花对。而企业面临的威胁，偏偏几乎全来自那个还没被预算覆盖到的"新问题"象限。
三、威胁侧的数据：几乎每家都挨过打
被低估的不是威胁的想象力，而是它的普遍性。几份独立调研指向同一个方向：
- AvePoint《State of AI 2026》：89.5% 的组织在过去一年遭遇过生成式 AI 相关安全事件，88.4% 遭遇过 AI 智能体（Agent）相关事件——注意后者，不是"担心会发生",是"已经发生过"；
- 世界经济论坛《2026 全球网络安全展望》：94% 的受访者认为 AI 将是 2026 年网络安全变化的最重要驱动因素，87% 认为相关漏洞有所增加；
- Gartner 从业者调查：48% 的安全从业者把 AI 智能体列为 2026 年头号攻击载体，一次 AI 智能体入侵事件的平均损失达到约 470 万美元，92% 的从业者对此表示担忧。
把这些数字和第二节对照，荒诞感就出来了：近九成企业已经被 Agent 相关安全事件打过、单次损失高达数百万美元、安全负责人把它列为头号威胁——可对应到预算上，专门保护 AI 的 Securing AI 市场只有不到 30 亿美元的全球盘子。这不是"要不要防"的认识问题，而是"认识到位了、钱却没跟上"的执行问题。
而且风险的性质也变了。中国工程院院士吴世忠的一个判断很值得引用："现在最大的危险不再仅仅是黑客入侵，可能还有算法本身的不可解释性、偏见、幻觉以及被诱导后的越权执行。"传统的攻防是"外部人试图闯进来",而 Agent 时代的核心风险是"你亲手授权的系统，被一段注入文本诱导后，自己把家门打开、把活干了"。这正是我们此前分析 Supabase 数据库大规模暴露、Anthropic 威胁情报报告时反复见到的病灶——防线没跟上能力的根源，是防的对象都换了。
四、为什么防线总是慢半拍：三个结构性原因
原因一：安全支出天然是"滞后确认"的。企业不会因为"可能有风险"就加预算，往往要等一次真实事故把损失砸在脸上才行动。AvePoint 那个"88.4% 已遭遇过 Agent 事件"说明事故已经在批量发生了，但预算结构的调整通常要再等一到两个季度甚至一年。
原因二：治理结构比工具更缺。Gartner 调查显示，仅有约三分之一的企业拥有明确的 AI 治理结构，而且其中多数也只是"部分遵守"自己定的规则。没有治理框架，就算买了 AI 安全网关也不知道该拦什么、权限边界画在哪。买工具容易，立规矩难——这和我们分析德勤"只有 1/5 企业有成熟 Agent 治理模型"时是同一条裂缝的不同侧面。
原因三：预算被旧厂商惯性锁定。大多数企业的钱本来就拨给了现有安全供应商，而这些供应商的 AI 产品很多是"老能力的新包装"。真正的 Securing AI 产品线（Agent 行为监控、提示注入防护、工具调用审计）是新兴品类，要从既有预算里硬切一块出来，组织阻力极大。结果就是"AI 安全"这个词很热，落到采购单上却常常买回一堆传统东西。
五、给 CISO 和技术决策者的四点建议
第一，用"能力—防线配比"自查，而不是用"有没有买安全产品"自查。把你今年在 AI 软件/Agent 上的新增支出，和你专门用于约束这些 Agent 行为（最小权限、动作审计、注入防护、熔断）的支出做个比值。如果差距接近甚至超过 9:1，你的攻击面正在以远快于防线的速度扩张——这比"总安全预算涨没涨"有意义得多。
第二，把钱明确切给"新问题",别全交给旧厂商顺手代办。采购时区分清楚：哪些是传统网络/内容合规的延续，哪些是真能管住 Agent 越权、能审计工具调用的新能力。前者再多也挡不住一段 prompt injection 让 Agent 替你删库。Securing AI 之所以是个独立品类，正因为它对付的是全新的失效模式。
第三，治理先行于工具。既然只有约 1/3 企业有明确 AI 治理结构、还多半不完全遵守，那第一步不是再买一个网关，而是把"谁能给 Agent 开权限、高危动作谁审批、操作日志留多久、出事怎么回滚"这套规则写死并真的执行。奇安信提出的"部署圈、连接圈、权限圈、数据圈、审计圈"五个圈是个不错的检查框架——本质都是先画圈、再放行。
第四，把 Agent 事件当成"已发生"来准备，而不是"是否会发生"来争论。88.4% 的企业已经挨过打。现在该建的不是"要不要防"的论证材料，而是一套响应预案：检测到 Agent 异常行为如何即时熔断、越权操作如何追溯、受损范围如何评估。假设它一定会出事，比拼的就是谁的止血更快。
FAQ
Q1：AI 安全支出增速 98%，难道不算重视吗？为什么还说投入不足？
A：增速高是低基数上的高增速——2025 年才 259 亿，翻到 513 亿听着吓人，但同期 AI 软件支出是它的近 9 倍、AI 总支出更是它的五十多倍。判断"重不重视"要看相对配比和绝对投向，不能只看百分比。何况这 513 亿里真正投向 Securing AI（保护 AI 本身）的只有约 28 亿量级，其余多是传统安全的延伸。增速是情绪指标，配比和结构才是决策指标。
Q2：不同来源给的"AI 安全支出"数字不一样（513 亿、392 亿、28 亿），到底信哪个？
A：它们测的根本不是同一个东西，不该拿来互相验证。513 亿是宽口径"AI 网络安全"大盘；392 亿是"AI 增强型安全产品"（用 AI 做防御的工具）；28 亿是最窄口径"Securing AI"（专门保护 AI 系统的新品类）。口径从大到小，恰好能同时为真。读这类数据的第一课，是先问"这个数字框的是哪一圈",而不是急着比大小或取平均。
Q3：对预算有限的中小团队，这条趋势意味着什么？
A：意味着"低成本先把圈画住"比"花钱买全套工具"更重要。中小团队大概率做不到独立的 Securing AI 采购，但完全可以在架构层先落实几件近乎免费的事：给每个 Agent 只开任务必需的最小权限、把高危动作设为人工确认、保留完整的动作级日志。这三件事不靠买产品，靠设计纪律——而 AvePoint 那 88.4% 的事故里，相当一部分本可以被这种朴素纪律挡住。
参考来源（英文一手材料）：
Gartner – 2026 年全球 AI 支出预测（2026-09 更新；AI 总支出 2.67 万亿、AI 软件 4,616 亿、AI 网络安全 513.47 亿（2025 为 259.2 亿，同比约 +98%）、Securing AI 专项市场 2026 约 28.35 亿→2028 近 77 亿；仅约 1/3 企业有明确 AI 治理结构；48% 安全从业者视 AI Agent 为头号攻击载体、单次入侵均损约 470 万美元）
AvePoint – State of AI 2026（89.5% 组织过去一年遭遇生成式 AI 安全事件、88.4% 遭遇 AI 智能体相关事件）
World Economic Forum – Global Cybersecurity Outlook 2026（94% 认为 AI 是 2026 网络安全变化最重要驱动因素、87% 认为相关漏洞增加）
