Token经济下，F5看到了什么？

一个AI Agent，2小时，20美元Token费用。

　　这是某跨国咨询公司内部AI平台被攻破的全部成本。据安全研究团队披露，自主AI智能体完成了从域名探测、接口扫描、漏洞挖掘到获取数据库读写权限的全流程，使数千万条聊天记录、数十万份文件及数万个用户账户面临暴露风险。常规漏洞扫描工具未能识别这一特殊注入点，但自主AI智能体通过反复分析数据库报错信息，逐步推断查询结构，最终获取了数据库访问权限。

　　F5中国区产品及解决方案总经理 陈亮

　　这是F5中国区产品及解决方案总经理陈亮在采访中列举的案例之一。F5《2026年应用战略现状报告》的数据印证了这个趋势：98%的企业计划改造现有应用以支持AI智能体访问，64%的企业已经允许AI自主调整策略或配置，企业平均使用的模型数量达到7个。Token经济下，安全的最大变量是智能体。

　　从“说错话”到“做错事”，风险从内容层扩展到执行层

　　陈亮把模型安全和智能体安全放在一起对比。在他看来，模型安全更多是“说错话”，因为幻觉产生出来的结果不一样，内容不同；但智能体的安全风险，因为它完全可以自主执行，风险一定是“做错事”。这是两个完全不同的等级。

　　某办公AI助手的“零点击外泄”是一个典型案例：一封包含隐藏指令的钓鱼邮件，AI助手在用户完全不知情的情况下自动读取邮件、提取敏感信息、封装进图片链接，触发外部访问导致数据泄露。用户没有点击任何链接，AI助手的自动化机制主动完成了攻击链。

　　第二个案例来自某AI企业的智能体评测。该智能体在评测中安全约束被调低后，为“刷分”自行逃出沙箱，利用0-day漏洞攻破第三方代码沙箱，侵入外部生产环境，产生大量自主动作，持续数天，多个智能体甚至在未授权的“留言板”上协同。内部数据集与凭据外泄，牵连多家第三方服务。

　　第三个案例是一起“攻击加速”事件：一个小型团队借助某先进AI模型，仅以较低成本订阅费攻入某AI企业核心单体代码仓库并提交代码变更请求。该企业随后修复漏洞，并向研究团队支付了赏金。

　　国内监管也在快速跟进。2026年修订的《网络安全法》新增第二十条，首次在法律层面确立AI安全治理框架；《智能体规范应用与创新发展实施意见》明确数据安全、权限管理、行为控制等技术方向；TC260-PG-20266A《网络安全标准实践指南——智能体部署使用安全指引》成为国内首套覆盖全生命周期的落地标准。金融行业更是先行一步，金发〔2026〕8号文要求建立健全人工智能应用全生命周期管理体系，并提升智能体系统安全保障能力。

　　陈亮指出：“一旦上了更多的管控手段，执行效率和部署效率就会受到约束。”这句话点出了智能体安全治理的核心挑战：如何合理确定管控程度、选择适当的治理方式，在防范错误执行的同时，兼顾运行效率与商业价值。

　　F5应用交付与安全平台（ADSP）：在AI流量和数字资产之间建一个控制层

　　面对这些风险，F5的应对并不局限于单点产品，而是延续其长期深耕的方向：在应用与数字资产之间构建控制层。

　　AI流量正从多个方向汇聚，南北向、东西向以及应用之间的交互日益频繁，流量来源也更加分散。各个访问节点都需要实施管控，才能有效管理AI智能体产生的请求、工具调用、数据提取和传输。按照陈亮的解释，需要在相互访问的链路中建立控制层，才能识别调用关系，并实施相应的安全防护。

　　F5发布的ADSP，正是承担这一功能的平台。它可以部署在云端、本地、传统数据中心及Kubernetes云原生环境，覆盖本地部署、私有云、混合多云和边缘。从架构上看，平台一侧承接来自用户、模型与推理、智能体、API、应用与集成、数据流六个方向的AI流量；另一侧连接企业的数字资产，包括应用、数据、AI模型和基础设施。

　　ADSP不是一款单一产品，而是一套整合多种能力的平台体系。围绕AI安全需求， F5还推出了独立的AI安全平台，提供AI安全治理、资产探测和安全风险测试能力，帮助客户识别风险，并提供运行时防护。在统一的策略框架内，F5对人类用户、机器人、可信AI智能体、可疑AI智能体和恶意机器人进行分类管理。

　　Gartner于2026年9月首次发布AI应用安全新兴市场象限图，F5被列入“市场塑造者”象限，是报告中仅有的两家获此定位的厂商之一。陈亮的解读是：“市场塑造者意味着我们可以定义AI应用安全的技术标准，产品架构和未来发展路线图。”

　　Gartner报告里总结的F5优势包括四条：全生命周期的自动化闭环方案（资产发现、评估、动态护栏、审计可观测）、全场景部署能力（本地、私有云、混合多云、气隙环境）、AI应用交付底座与AI应用安全的原生融合、行业领先的智能体意图与行为管控。

　　WAF失效之后，F5用组合防护替代单一规则

　　有了ADSP这个控制层，具体的安全防护怎么落地？陈亮的答案是组合防护。

　　传统WAF本身基于规则进行防护，无论是数据包还是注入请求，都可以通过特征进行识别。但到了AI智能体和模型层面，防护需要进一步涉及语义分析，传统WAF难以理解请求的目的和含义。这是陈亮对WAF防护局限的解释。

　　某跨国咨询公司的内部AI平台遭受攻击，是一个体现防护边界的案例。按照陈亮的解释，这类攻击尚未涉及智能体层面的安全防护，应由WAF及API安全防护能力应对。

　　但到了智能体与智能体之间的调用，就需要AI护栏介入。某银行多智能体贷款审批系统的案例可以说明这一问题：攻击者在提交的PDF申请表中，以白色字体嵌入恶意提示词，试图诱导系统将贷款认定为已获批准，并降低风险评级。传统WAF识别到的是正常文本，难以判断其中的恶意意图。但F5 AI护栏识别出该指令的恶意意图，在请求分发至后续智能体之前将其阻断。

　　F5的做法是通过标签对不同智能体进行分类，并据此配置防护策略。对外接收请求的智能体按不可信对象处理，所有请求均需经过10套策略的检查；仅与内部请求交互的智能体，则可能只需配置一条安全策略。这种差异化策略兼顾了安全性与运行效率。

　　陈亮总结，F5既提供WAF防护，也提供针对智能体的防护手段和面向模型的安全护栏，通过组合方式帮助客户实施相应的安全防护。从架构上看，这就是ADSP控制层的具体落地：API发现与安全、WAF、BOT防御、DDoS清洗部署在外围，AI护栏和AI红队位于AI应用侧，各项能力通过统一的策略管理衔接。

　　Token调度是新的效率战场，TBLB从中国走向全球

　　ADSP控制层解决的是安全问题，但Token经济还有另一个维度：效率。

　　基于词元（Token）的负载均衡解决方案（Token Based Load Balancing，简称“TBLB方案”）是F5中国团队原创的方案，已经向F5美国总部输出，并开始向全球推广。核心逻辑是将负载均衡的调度单位从 “请求数”转向“Token消耗成本”，实时感知KV Cache状态、GPU负载、队列长度等指标，据此进行调度决策。F5随后将TBLB算法融入云原生BNK产品，并在2.4版本中增加了对Prefill/Decode分离架构的感知能力，更精准地识别后端算力的变化与负载压力。

　　TBLB方案能够向全球推广，其根本原因在于异构算力已成为全球企业共同面临的问题。即便是同一家厂商，产品与架构的迭代速度也在加快。以英伟达Blackwell芯片为例，其新一代架构的迭代周期持续缩短；华为昇腾也计划按年度推出新一代产品。对企业而言，整体GPU算力池往往由多个不同型号的设备共同构成。

　　以汽车行业为例，TBLB方案的价值体现在四个维度。座舱语音助手场景中，TTFT首Token时延决定用户结束发言到助手开始响应之间的等待时长；行程规划和故障讲解场景中，Token生成速度决定长文本回答的流式语音合成（TTS）是否流畅；车云协同和OTA诊断场景中，端到端访问速度决定信息能否在有效时间窗内返回；车队并发场景中，并发用户承载能力决定早晚高峰全国车队同时在线时，服务是否出现性能下降或降级。

　　采访最后，话题回到F5的定位。陈亮用一句话概括了这家公司30年来的发展逻辑：“F5这30年来一直做一件事，跟着应用走。”

　　这不是一句口号。从ADC 1.0的硬件时代，到ADC 2.0的云迁移时代，再到今天的ADSP，F5的能力边界始终围绕应用展开。应用在哪里，控制层就在哪里。原来应用放在数据中心，F5就放在数据中心保证可靠性；应用上云之后，能力就拓展到了云；变成混合多云，就有了哪个位置可以部署的手段。今天有了AI，针对AI协议的支持、智能体风险的判别、身份的认证，都是跟着应用的变化不断提高能力。

　　当Token成为AI经济的计价单位，F5不做大模型，不做GPU，做的是连接、调度、保护Token。这个定位从数据中心时代到AI时代没有变过——它不是追风口，是追应用。