54%企业已遭遇AI智能体安全事件，多数仍共享凭证

在107家企业中，AI 智能体正被赋予对系统和数据的真实访问权限，而旨在约束它们的管控措施却滞后于步伐。超过一半的企业已经历过经确认的智能体安全事件或险肇事故；只有约三分之一为每个智能体分配了各自限定范围的身份，大多数智能体仍在共享凭证；只有三成对风险最高的智能体进行了隔离。安全技术栈绝大多数是从模型提供商和超大规模云厂商那里借用而来，而非专为智能体打造，相关支出仍只占安全预算的薄薄一片，而企业对于自身防御能否跟上 AI 赋能的攻击者，意见恰好对半分裂。其结果便是智能体安全缺口——自主智能体的扩散速度，快于约束它们所需的身份、隔离与执行管控的跟进速度。

本期 VentureBeat Pulse Research 调研考察企业如何保障其 AI 智能体的安全：它们运行哪些工具、如何管理智能体身份与隔离、已经出了哪些问题、投入多少资金，以及它们是否相信自身防御能跟上 AI 赋能的攻击者。

核心发现是一个智能体安全缺口——即企业赋予其智能体的自主权，与用以约束它们的现有管控之间的差距。超过半数的组织（54%）已经历过经确认的智能体安全事件（18%）或在造成危害前被拦截的险肇事故（36%）。这些数字背后的结构性弱点是身份：只有约三分之一（32%）为每个智能体分配了各自限定范围、受管理的身份，其余组织则报告称部分智能体共享凭证，或智能体大多运行在共享 API key 以及人类或服务账号凭证之上。当智能体共享凭证时，单个被攻陷或权限过大的智能体便会带来巨大的爆炸半径——而只有三成企业（30%）将风险最高的智能体隔离在沙箱中，以限制这一半径。

这一差距之所以引人注目，在于企业在其中竟如此安然自得。安全技术栈绝大多数来自厂商原生方案——OpenAI 的护栏（51%）、Google 和 Microsoft 的云安全管控，以及 Anthropic 的托管智能体管控占据主导，而专门的智能体安全厂商几乎无人问津——并且企业对这套借来的技术栈满意度颇高，平均达 4.2 分（满分 5 分）。然而，相关支出仍只占安全预算的极小一部分，仅三分之一的企业认为其 AI 防御领先于 AI 赋能的攻击者，而明显多数的企业计划在一年内更换工具。企业对这些管控措施感到满意，同时却又准备将其替换。

方法论

VentureBeat 将本次调查作为其持续进行的 Pulse Research 系列的一部分来开展，本工具聚焦于企业智能体安全——即组织用于保护自主 AI 智能体的工具、身份、隔离和执行管控措施。回复经过筛选，仅纳入员工人数超过 100 人的组织（n=107；调查中规模最小的区间，即 1–100 名员工，已被排除），数据取自 2026 年 6 月的单次调查波次。由于这是单次波次而非多个月份的汇总样本，本报告以横截面方式解读，不推断逐月趋势。若干问题为多选，因此这些比例之和可能超过 100%。

按角色来看，样本由资深人士构成，且具备采购决策可信度：45% 是 AI 采购的最终决策者，另有 30% 是推荐者或影响者。职级构成包括经理（43%）、个人贡献者（24%）、副总裁和总监（15%）以及最高管理层（11%）。按组织规模来看，样本偏向中型市场：251–1,000 人（42%）和 101–250 人（25%）的企业占主导，其次是 1,001–5,000 人（19%）、5,001–10,000 人（8%）和 10,001 人以上（7%）。科技/软件是最大的行业，占 23%，其次是制造业（15%）、零售/电商（14%）和医疗健康/生命科学（13%）。

在 107 名受访者的情况下，样本量足以进行方向性解读，但应被视为方向性信号，而非精确测量；该样本为自我选择，并非概率抽样。它偏向中型市场，因此最好将其理解为正在积极构建智能体安全的组织的观点，而非最大规模运营方的观点。

满意度评分基于回答了各评分问题的受访者计算；总体满意度得分反映的是 107 名合格受访者中的 82 人。

发现 1：事件已经到来

超过半数曾遭遇智能体安全事件或险情

我们询问了各组织是否经历过智能体安全事件——即已确认的入侵，或在造成危害前被拦截的险情。大多数在生产环境中运行智能体的组织都经历过。

这是报告中最具代表性的数字。超过半数的组织（54%）已经遭遇过智能体安全事件——其中 18% 是已确认的安全事件，36% 是在造成危害之前被及时拦截的险情。只有 42% 报告未发生任何事件，剩余一小部分要么没有在生产环境中运行智能体，要么不追踪此类事件。如此多的组织报告的是险情而非仅有已确认事件，这一点很能说明问题：企业正在发现问题，但都是在问题逼近边缘时才捕获。本报告余下部分所考察的控制手段——身份、隔离、强制执行——正是决定下一次险情能否继续停留在险情阶段的关键。

暴露面随公司规模扩大而增加，但遏制能力却没有同步跟上。事件或险情的发生率从中端市场（员工数 101-1,000 人的公司）的 49% 上升到大型企业（员工数超过 1,000 人）的 63%，而高风险智能体的沙箱隔离率却从 35% 下降到 20%，对安全工具的满意度也从 4.36 降至 3.97。在最多系统上运行最多智能体的组织，遭遇的事件最多，而唯一能够限制事件爆炸半径的控制手段却用得最少。

发现 2：身份缺口

只有三分之一为每个智能体分配了各自限定范围的身份

我们询问了企业如何管理其 AI 智能体的身份——是每个智能体拥有自己的凭证，还是智能体之间共享凭证。完整的逐智能体身份属于少数情况。

综合来看，这些相互重叠的回答显示，69% 的企业（107 家中的 74 家）在智能体集群的某个环节存在凭证共享。身份是这些事件背后的结构性弱点。只有约三分之一的企业（32%）为每个智能体分配其专属的、受范围限定的托管身份——这是实现最小权限访问和清晰归因的前提。近一半（48%）表示部分智能体拥有受范围限定的身份，但许多仍在共享凭证，另有 32% 表示智能体主要依赖共享 API key 或借用的人类及服务账号凭证运行。（受访者可以描述其智能体集群中的多种模式，因此这些数据存在重叠。）

后果是直接的：当智能体共享凭证时，一个权限过高或已被攻陷的智能体可以以远超预期的范围行事，而事件发生后的取证无法清晰辨别哪个智能体做了什么。非人类身份问题——为每个智能体赋予其专属的受治理身份——是企业智能体安全中最大的一块未完成拼图。

此外，公司的智能体凭证状况与安全事件存在相关性。在集群中任何环节存在凭证共享的组织，其遭受安全事件或未遂事件（过去十二个月内）的比例为 63.5%（74 家中的 47 家）。而每个智能体都拥有专属受范围限定身份的组织，这一比例为 40.9%（22 家中的 9 家）。完全受范围限定的群体规模较小，因此目前这一关系属于关联而非已证实的因果关系，且差距集中在中端市场——但在同一项调查中，23 个百分点的安全事件率差异表明其具有显著性。

发现 3：可观测、可执行，但很少隔离

仅有三成企业对其最高风险的智能体实施沙箱隔离

我们询问了一个组织的智能体安全态势在实践中是什么样子——他们是观察、强制执行、隔离，还是某种组合。而限制损害范围的控制措施恰恰是最不常见的。

监控和强制执行相当普遍；遏制则不然。大约一半的企业会观察智能体活动（47%）或在运行时强制执行限定范围的权限（49%），但只有 30% 将其最高风险的智能体隔离在沙箱中，以便在其他控制措施失效时限制爆炸半径。从纵深防御的角度来看，这个排序是颠倒的：观察告诉你发生了什么，强制执行试图阻止它，但隔离才是预防失败时限制损害的手段——而这恰恰是企业采用最少的控制措施。结合发现 2 中的身份缺口，呈现出的图景是：智能体被监视、被授予权限，却很少被关进围栏，而这正是一次单一故障就会蔓延扩散的配置。

发现 4：安全依赖于借用的、提供商原生的控制措施

来自 OpenAI、Google 和 Microsoft 的护栏占据主导；专业厂商几乎无人问津

我们询问了企业使用哪些智能体安全工具，以及哪一层是他们的主要防线。答案偏向模型提供商和超大规模云厂商，而非专业安全厂商。

企业正在用随其模型和云服务捆绑提供的工具来保护智能体。OpenAI 的护栏以 51% 领先，紧随其后的是 Google 和 Microsoft 的云原生控制措施以及 Anthropic 的托管智能体控制措施——当被要求说出其唯一的主要安全层时，82% 的受访者提到了这些提供商原生的产品之一。专门打造的智能体安全类别——Palo Alto 的 Prisma AIRS、CrowdStrike、Cisco AI Defense、Zenity、HiddenLayer、Check Point 的 Lakera、Okta for AI Agents、非人类身份平台——几乎无人问津，各自都只有较低的个位数占比，而仅有 5% 完全没有使用任何专用工具。与本系列其他部分关于检索和评估的情况一样，提供商捆绑方案正在赢得默认地位：企业首先求助于其平台自带的护栏，而那个本可解决身份与隔离缺口的独立安全层尚未被大规模采用。

提供商默认模式在 Q2 的两轮调查中保持一致。在 4 月至 5 月（n=110），使用率由同样的名字领先——OpenAI 的控制措施占 26%，Azure 占 15%，AWS 占 14%，Google 占 12%——而每一家专门的智能体安全专业厂商都在 3% 或以下，且每十家就有一家完全没有使用任何专用工具。两项调查得出的共同结论是：企业正在默认采用其所使用平台提供的解决方案，而专业类别的厂商尚未在这里成为重要参与者。

（关于如何解读这些份额的说明。如方法论部分所述，受访样本为自我选择，且偏向中型市场，而使用情况问题统计的是受访者已部署的每一个供应商或方案——因此这些数字衡量的是在安全技术栈中的存在度，而非支出或排他性。因此，单个供应商的百分比都带有通常的样本局限性。然而，这一结构性模式在 Q2 的两轮调查中、在两个措辞不同的问题上均成立：提供商原生和超大规模厂商的控制措施领先，而专门的智能体安全专业厂商仍停留在较低的个位数。对单个份额可宽松解读，对这一模式则可放心采信。

发现 5：而且企业对此感到满意

即便事件不断增多、身份问题滞后，满意度依然很高

我们询问了企业对当前智能体安全工具的满意度。这种安心感与上文记录的暴露程度明显不相称。

对智能体安全工具的满意度很高——总体 4.2 分（满分 5 分），性价比 4.1 分——这是本系列中最积极的读数之一。引人注目的是：企业对一套主要由借用来的提供商护栏组成的工具栈高度满意，尽管超过一半的企业已经发生过安全事件或险情，且只有三分之一为其智能体分配了限定范围的身份。这种安心似乎建立在提供商原生控制的便利性和低摩擦之上，而非建立在已被验证的遏制能力之上。这是一种正在形成的虚假安心——正如发现 8 所示，那些表达满意的企业中有明显多数计划在一年内更换工具，这表明信心比分数所暗示的要薄弱。

发现 6：预算尚未跟上

大多数企业在智能体上的支出不到安全预算的十分之一

我们询问了企业将安全预算的多大份额分配给保障 AI 智能体安全。对于一项快速涌现的风险而言，这一分配额度并不高。

智能体安全方面的支出仍然只占很小一部分。最常见的分配比例是安全预算的 6–10%（46%），三分之一的企业（34%）支出 5% 或更少；只有四分之一（24%）投入超过十分之一。鉴于发现 1 中的事件发生率以及发现 2 和发现 3 中的身份与隔离缺口，预算看起来像是一个滞后指标——风险到来的速度快于应对它的资金到位速度。将超过十分之一的安全预算用于智能体的企业是明显的少数，它们很可能就是那些正在构建其余企业尚未建立的范围限定身份和隔离控制的企业。

发现 7：这场军备竞赛充其量只是势均力敌

只有三分之一认为其 AI 防御领先于 AI 赋能的攻击者

我们询问了企业如何评估其 AI 赋能防御与 AI 赋能攻击者之间的力量对比。信心远未尘埃落定。

企业在自己是否占据上风这一问题上意见分裂。只有约三分之一（35%）认为其 AI 赋能防御领先于 AI 赋能攻击者；其余则不那么确定——32% 认为大致势均力敌，21% 认为攻击者领先，另有 21% 表示现在下结论还为时过早。综合来看，明显多数（53%）认为这一力量对比要么势均力敌，要么偏向攻击者。这种不确定性，与发现 5 中的高满意度并存，令人不安：企业对自身工具感到满意，却不相信它正在赢得它本应赢下的这场较量。在一个进攻方同样借助 AI 不断累积优势的领域，势均力敌的竞赛绝非舒适之地。

发现 8：一场安全领域的重新洗牌即将到来

近六成计划在一年内采用或更换工具

我们询问了企业是否计划采用新的、额外的或替代性的智能体安全解决方案，以及它们正在考虑哪些方案。鲜有企业打算维持现状。

安全栈尚未定型。尽管 41% 的企业没有更换计划，但明显多数（59%）打算在十二个月内采用新的、额外的或替代性的智能体安全解决方案，其中 29% 计划在下一季度内完成——这是一个强烈信号：尽管满意度很高，企业清楚当前的安全栈只是临时方案。安全事件正是采购周期的起点。

在曾遭受攻击的组织中，42.1% 计划在未来九十天内采用、增加或更换智能体安全工具，而未遭遇事件的组织中这一比例为 14.0%——在确认发生事件后，这成为多数行为，达到 52.6%。遭受攻击还会改变威胁评估：33.3% 的受害组织表示，AI 武装的攻击者领先于其防御能力，而未受害组织中这一比例仅为 8.0%。在这份数据中，亲身经历是紧迫感和悲观情绪的最强预测因子。

考虑范围仍然偏向厂商原生方案（OpenAI 34%、Google 30%、Anthropic 29%、Azure 25%），但专业安全厂商——Cloudflare、Cisco、Palo Alto、Okta、Check Point 的 Lakera——在中高个位数区间获得了早期关注，超过了它们当前的市场份额。

购物清单中尚未专门包含的，是身份层。12% 的受访者将智能体身份产品——Okta for AI Agents、Microsoft Entra Agent ID 或非人类身份平台——纳入了他们的考虑范围，而在已经发生过安全事件的凭证共享型组织中，对身份方案的考虑基本没有变化，仍约为十分之一。事件数据最直接指向的那项控制措施，恰恰在采购计划中大体缺席。这一波浪潮究竟会强化提供商原生的默认方案，还是最终为专为智能体打造的安全方案——即事件所呼唤的身份与隔离控制——打开大门，正是本系列将持续追踪的问题。

核心结论：一个将由自主性最先检验的安全缺口

员工超过 100 人的组织正在让 AI 智能体真正深入到系统和数据之中，却用为其他对象打造的控制措施来保障其安全。超过一半的组织已经发生过安全事件或险情；只有三分之一为每个智能体分配了各自限定范围的身份，大多数仍在共享凭证；只有三成对风险最高的智能体进行隔离；而承担这项工作的技术栈绝大多数借用自模型提供商和超大规模云厂商，而非专为智能体打造。

令人不安的组合是信心与暴露并存：对本系列调查中当前工具链的满意度位居最高之列，但相关支出仅占安全预算的很小一部分，只有三分之一的人认为自己的防御领先于 AI 赋能的攻击者，而明显多数已在计划替换现有方案。单轮 107 名受访者属于方向性解读，且偏向中型市场——但方向是明确的：智能体的采用跑在了智能体安全的前面，而一旦出事最关键的控制手段——限定范围的身份与隔离——恰恰是企业建设最少的。智能体安全缺口不是靠供应商护栏就能自行填补的覆盖问题；它是为自主软件构建的身份、隔离与执行问题。后续调查轮次待解的问题是：企业会主动弥合这一缺口——还是让一次已确认的安全事件替它们弥合。

基于 107 名合格企业受访者（员工数 100+）的调查反馈，取自 2026 年 6 月的单轮调查。这属于方向性解读，而非精确测量——样本为自我选择且偏向中型市场，因此最好将其理解为正在积极构建智能体安全的组织的观点，而非最大规模运营方的观点。受访者均为资深人士且具备采购话语权（45% 为最终决策者，30% 为推荐者/影响者），涵盖从经理到最高管理层的层级，主要来自技术/软件、制造、零售/电商以及医疗健康/生命科学行业。