AI冲击SaaS，为什么网络安全是例外？

AI冲击软件股，是今年美股说得最多的叙事。

截至6月15日收盘，美股软件ETF IGV年内跌了12.3%，WCLD跌了11.9%。如果看明星软件股，杀得就更狠了，Figma跌了50%，Adobe跌了41%。

市场的逻辑很简单，AI能替代人，就能替代人用的软件。

但在大多数软件股都在跌的时候，有一类软件反而涨得越来越凶，那就是网络安全。

截至6月15日收盘，美股上两个最大网络安全ETF CIBR和HACK，分别涨了20.74%和21.16%，均跑赢了IGV30个点以上。CIBR前十大持仓中，还有6家公司年内涨幅超过50%。

可以说，网络安全股没有被AI冲垮，反而成为今年美股表现最强的板块之一。

借用Palo Alto CEO Nikesh Arora的一个判断：市场担心AI会带来“SaaS末日”，但至少在网络安全领域，情况可能恰好相反。

简单来说，由于AI本身高度不确定性，企业用得越深，为确定性支付的安全预算就越高。这也是为什么网络安全成为少数持续受益于AI普及的软件赛道之一。

今天，硅基君就结合几个具体案例，来展开说说这个事。

管理Agent的“身份与钥匙”

AI带来的第一个新增需求，是管理Agent的身份和权限。

过去，企业的权限体系主要围绕人设计。员工拥有账号，管理员拥有更高权限。谁能登录系统、查看哪些文件、修改哪些数据，通常都能对应到一个具体的人。

Agent出现后，这套体系开始失效。

一个Agent可能代表员工读取邮件，也可能代表开发者修改代码，甚至与其他Agent协作完成任务。它不仅是一个软件功能，更是一个能够代表企业行动的新身份。

基于这个变化，一系列的问题也随之出现：

这个Agent代表谁？能够访问哪些数据？可以调用哪些工具？使用的是谁的账号和密钥？任务完成后，权限能不能及时收回？

如果这些问题没有解决，企业部署的Agent越多，内部就会出现越多不受控制的“机器员工”。

它们可能长期持有API密钥，继承超出任务需要的权限，或者在员工离职、项目结束后，依然能够访问企业系统。

这也是Palo Alto Networks愿意花约250亿美元收购CyberArk的原因。

CyberArk最核心的业务，是管理企业内部最敏感的权限。例如，数据库管理员账号、云平台密钥、服务器密码，以及能够修改生产系统的高权限凭证。

过去，它主要防止管理员账号被盗，或者阻止员工长期拥有不必要的高权限。

到了Agent时代，这套能力有了新的用途。

企业可以给Agent分配一个独立身份，只在执行任务时提供临时权限。一个负责查询库存的Agent，只能在几分钟内读取库存数据，任务结束后，权限自动失效。

Palo Alto买下CyberArk，相当于买下了一套管理机器员工钥匙的系统。

这也补上了Palo Alto过去最明显的一块短板。过去，Palo Alto能够看到网络里发生了什么，却不一定负责决定这个账号为什么拥有权限，以及这份权限应该在什么时候被收回。

这是AI给网络安全行业创造的第一个新市场：当软件开始替人行动，企业就必须像管理员工一样，管理每一个Agent的身份、权限和责任边界。

盯住那个“AI黑盒”

AI带来的第二个新增需求，是保护模型和Agent的运行过程。

AI和传统软件最大的区别，在于行为高度不确定。

传统软件通常按照预先写好的代码运行，结果完全可控。而Agent则会根据模型输出动态决定下一步动作。一次简单指令，背后可能包含几十次模型调用和工具操作。

任何一个环节出现问题，就会导致AI行为被完全带偏。这些风险未必来自传统意义上的病毒，也可能来自提示词注入、模型幻觉、错误配置，或者第三方插件和模型本身存在的问题。

比如，一个Agent在浏览网页时，可能读到一段隐藏的恶意指令，被诱导忽略原有任务，转而上传内部文件。

因此，企业不光需要检查Agent的权限，还要持续监控它运行时发生的每一步。

Palo Alto Networks的Prisma AIRS主要解决这一问题。

它部署在企业AI应用与模型之间，检查员工向模型输入了什么信息、模型返回了什么内容，以及Agent调用工具时是否存在异常。

例如，当员工试图把客户数据输入未经批准的公共模型时，Prisma AIRS可以识别并阻止；当Agent读取到包含提示词注入的网页或文件时，它可以拦截恶意指令。

这相当于在模型与企业数据、Agent与外部工具之间，增加了一道实时检查层。

从去年5月推出到今年5月底，Prisma AIRS的客户已经从一个季度前的约100家增加到300多家。

Palo Alto管理层预计，这款产品将在未来几个季度达到1亿美元ARR。一季度，公司还拿下了一笔超过2000万美元的订单。

为了更好监测AI的动作，今年年初Palo Alto还花33亿美元收购了可观测性公司Chronosphere，用于提高AI系统的可观测性。

在一季度电话会议上，Palo Alto披露，Chronosphere最新季度ARR已经超过3亿美元，环比增长超过50%。

其中，一家头部前沿AI实验室贡献的ARR超过2亿美元。随着这名客户逐步将业务从原供应商迁移至Chronosphere，其使用量仍在增加，成为这一季度增长的主要来源。

除了Palo Alto外，CrowdStrike也在切入这个市场。

这是CrowdStrike过去最熟悉的领域。其核心产品EDR的工作是，监测终端设备上的所有行为。简单说，这台电脑干了什么。

到了AI时代，CrowdStrike希望把这套能力复制一遍。

它推出的AIDR，能够监测企业里究竟运行着多少Agent，以及它们正在使用哪些身份和凭证。

这件事听起来简单，但其实并不容易。

很多企业内部的Agent并不是由IT部门统一部署。员工可能自行安装AI编程工具，业务部门可能接入第三方Agent，开发团队也可能在云服务器里运行自己的自动化程序。

安全部门甚至不知道这些Agent是否存在，更不知道它们连接了哪些模型、拿到了什么权限，又访问了哪些敏感数据。

AIDR的工作就是，把这些看不见的Agent找出来，再持续监控它们的行为。

截至4月底，AIDR的ARR环比增长超过250%。虽然公司没有披露起始规模，但已经出现了真实订单，一家汽车金融公司为超过3万台终端采购AIDR，合同金额达到七位数美元。

CrowdStrike CEO George Kurtz甚至判断，这是一个长期可能成为比EDR（传统终端安全）更大的市场。这意味着，这至少是一个百亿美金级别规模的市场。

为数据中心建“防火墙”

AI带来的第三个新增需求，是保护AI背后的基础设施。

在AI数据中心里，模型训练和推理需要频繁搬运数据。GPU之间要交换计算结果，集群还要不断从存储系统读取数据。随着集群规模扩大，数据中心内部的通信量也在快速增加。

这类发生在服务器和工作负载之间的通信，被称为东西向流量。

过去，企业安全体系更加重视数据中心边界。AI集群扩大后，内部网络也需要更细的隔离。不同用户、任务和GPU集群不能随意互访，否则攻击者只要突破一个节点，就可能沿着内部网络继续扩散。

问题在于，AI基础设施对性能非常敏感。

一套GPU集群可能价值数千万甚至数亿美元。如果防火墙处理速度不够，导致网络延迟增加，昂贵的GPU就会因为等待数据而闲置。

因此，企业不仅需要安全，还要求安全系统不能明显拖慢训练和推理。

这让Fortinet成为AI基础设施扩张的直接受益者之一。Fortinet的核心优势，是自研FortiASIC安全芯片。

传统防火墙主要依靠通用处理器检查网络流量。流量越大，需要消耗的计算资源和电力也越多。

Fortinet则把加密、流量识别和安全检查等任务放到专用芯片中处理，希望在更低功耗下，提供更高的网络吞吐量。

这套能力过去主要服务于大型企业和数据中心。AI数据中心出现后，它的价值被进一步放大。

今年一季度，Fortinet披露了多笔与AI基础设施相关的订单，其中包括两笔AI数据中心项目。

一家GPU云基础设施提供商，为新建AI数据中心采购FortiGate，用于数据中心边界保护、内部网络分区和安全连接。另一家生成式AI公司，也为新的AI数据中心项目采购了Fortinet产品。

截至3月底，Fortinet季度产品收入同比增长41%，远高于服务收入11%的增速。尽管公司没有披露其中有多少收入直接来自AI，但管理层已经明确提到，AI数据中心部署已经开始推动高性能FortiGate的需求。

/ 04 /

新的付费逻辑：用得越深，预算越高

除了这些显性的产品需求，AI也在改变网络安全行业的付费逻辑。

第一个变化，是安全公司能够收费的对象变多了。

过去，企业安全主要围绕员工、电脑和服务器展开，收费也通常与账号、终端或工作负载的数量挂钩。

Agent出现后，这种相对稳定的对应关系开始松动。

一名员工未来可能同时使用多个Agent，分别处理代码、邮件、数据查询和业务流程。即使企业的员工数量没有增长，需要管理的机器身份和访问权限也可能快速增加。

这为安全公司创造了一类新的付费对象。

第二个变化，是安全需求开始与AI的实际使用量挂钩。

模型每运行一次，都会产生新的数据输入、模型输出和工具调用。AI系统使用得越频繁，需要检查、记录和审计的行为就越多，安全成本也会随之上升。

目前，Palo Alto的Prisma AIRS Runtime API已经开始采用基于Token用量的授权方式，将AI的使用规模直接与收入挂钩。

总的来说，对普通SaaS公司来说，AI可能减少部分人工席位。对网络安全公司来说，情况恰好相反。

AI天然带有不确定性，企业经营却依赖稳定、可控和可追责。两者之间的落差不会随着AI普及消失，反而会在模型和Agent进入核心业务后不断放大。

也就是说，AI用得越深，企业为确定性支付的安全预算就越高，这让网络安全成为少数持续受益于AI普及的软件赛道之一。

文/阿奇

PS：如果你也在寻找投资AI资产的机会，欢迎扫码加入我们的交流群。