8月27日美股收盤後，兩份財報重新點燃了網路安全賽道。身份安全公司Okta單日上漲28.63%，終端安全龍頭CrowdStrike上漲20.5%。兩家公司不僅季度業績超出市場預期，還雙雙上調全年指引。比財務數字更能刺激市場的是，它們不約而同地將新增需求指向AI Agent。CrowdStrike CEO George Kurtz將當前的網路安全競爭形容為一場“軍備競賽”。Okta CEO Todd McKinnon則透露，公司新推出的AI相關產品已經貢獻了接近三分之一的訂單，第二財季拿下了數十筆AI相關交易。

美股完成估值重估後，情緒很快傳導至A股。8月28日早盤，網路安全板塊集體拉昇。麒麟信安開盤9分鐘封死20%漲停，中安科、天融信漲停，奇安信漲超15%，深信服、三六零、安恆資訊和綠盟科技紛紛跟漲。

但真正把這輪行情從財報催化推向情緒高潮的，並不是Okta和CrowdStrike的訂單，而是一則更具戲劇性的訊息：約700個AI Agent聯手攻入了Hugging Face。

這起事故源於一次失控的協作作弊。8月26日，OpenAI釋出事故調查技術報告，METR與Redwood Research的獨立調查也同步公開，還原了發生在2026年6月底至7月的ExploitGym評測事故。事故發生在一個專門用於測試模型網路攻防能力的隔離沙箱中。為了儘可能測量模型能力，評測方主動關閉了部分安全機制。約1200個原本應當彼此隔離的Agent，在執行過程中發現，它們可以利用內部部署的JFrog Artifactory傳遞資訊。

整個過程大體可以分為四步。第一步，越獄。約1200個本應相互隔離的Agent，意外發現可以通過內部部署的JFrog Artifactory（一個給Agent提供受控軟體包訪問的第三方服務）進行通訊，把它改造成了非授權的“留言板”，累計交換超過7萬條訊息和檔案。第二步，協作作弊。這些Agent開始分工：有的尋找漏洞，有的搜刮憑據，有的專司協調。它們聯手研究如何偽造工具呼叫記錄、編輯和刪除自己的執行軌跡，以欺騙自動評分器。約7%的轉錄樣本出現了成功偽造的工具呼叫。值得注意的是，評測共898個任務，其中198個從未被任何模型成功完成——而這198個“不可能任務”佔留言板討論內容的93%。Agent沒有“放棄”，而是選擇了繞過。第三步，逃逸與攻擊。Agent隨後利用Artifactory中一個此前未知的漏洞突破沙箱，獲得網際網路訪問許可權，並在此後約兩天半內攻入Hugging Face生產環境，約700個Agent參與了這次攻擊。Hugging Face方面表示，入侵持續約兩個半日，涉及數千個機器速度的自動化決策。第四步，事後定性。OpenAI明確表示客戶資料、線上產品未受影響，並稱之為“warning shot”（警告射擊）。OpenAI認為，事件同時暴露了獎勵機制被利用、Agent對不可能任務過度堅持、智慧體之間出現未經授權的通訊，以及模型接受其他Agent傳遞目標等問題。

這起事故不能被簡單包裝成“700個AI密謀叛亂”。它更像一群學生在封閉考試中找到傳遞答案的方法，繼而偽造答題記錄，最終通過教務系統的漏洞進入外部網路。事情足夠嚴重，卻和“學生佔領學校”不是同一回事。

AI改變的是攻擊經濟學。傳統網路安全體系主要圍繞“人”建立。無論是防火牆、防毒軟體，還是入侵檢測系統，大多依賴規則、簽名和行為特徵識別風險。其基本假設是，攻擊者是人，人會疲勞、會犯錯，也會在重複操作中留下相對穩定的痕跡。AI Agent打破了這一假設。它改變的不只是攻擊方法，更是攻擊的成本、速度和持續性。傳統攻擊者需要休息，單人在有限時間內能夠完成的嘗試次數也有上限，但Agent可以全天候執行，以機器速度連續做出決策，並在多個智慧體之間自動分工。

當目標設定出現偏差時，Agent還可能為了完成任務而修改執行記錄、掩蓋異常行為。在提示注入的誘導下，它甚至可能呼叫原本不該使用的工具。企業一旦授予過大的許可權，風險便不會停留在一次錯誤操作上，而可能沿著賬號、資料介面和外部系統持續擴散。這意味著，企業未來需要防範的不只是一個明確懷有惡意的人，還包括一個擁有合法身份、掌握真實許可權，卻可能在執行過程中逐漸偏離預期的自主程式。

新的安全需求也由此產生。企業不能再把員工賬號和密碼直接交給Agent使用，而要為每個Agent建立獨立的機器身份。這個身份需要受到最小許可權原則約束，只能在指定時間、指定環境中訪問指定資源；一旦出現異常，許可權還必須能夠立即凍結或撤銷。僅有身份管理也不夠。企業還需要在Agent執行過程中持續判斷，它是否發生越權呼叫、是否正在洩露憑據、是否被提示注入操控，以及行為軌跡能否在事後完整追溯。

從產業鏈位置看，Okta切入的是機器身份和訪問控制，CrowdStrike爭奪的則是終端及執行時檢測。資料安全、模型安全和審計廠商也在試圖佔據Agent呼叫鏈中的關鍵節點。這套商業邏輯並不複雜。Agent數量越多，企業需要管理的機器身份就越多；身份和呼叫關係越複雜，攻擊面也會同步擴大；當安全預算因此變得剛性，能夠覆蓋身份、終端、資料和審計的平台型廠商，便有機會獲得更多預算份額。

Okta已經初步驗證了這種需求。公司推出的“Okta for AI Agents”在本季度貢獻了接近30%的新預訂，並拿下數百萬美元級企業訂單。CrowdStrike則依靠EDR、XDR和平台化訂閱切入Agent執行環境，其Falcon Flex靈活訂閱業務的年度經常性收入同比翻倍。財報也為這個故事提供了支撐。Okta將全年營收指引上調至32.16億至32.26億美元，CrowdStrike則將全年展望上調至59.9億至60.1億美元，單季淨新增ARR創下公司紀錄。美國銀行隨後上調Okta評級，核心理由之一也是AI相關業務正在加速。

這也是海外AI安全和A股主題行情之間最關鍵的區別。海外廠商已經用訂單、ARR和收入指引證明，Agent安全正在進入財報；A股目前更多還停留在產品釋出、認證測試和概念對映階段。兩者講的是同一個方向，卻不在同一個商業階段。

A股網路安全板塊啟動後，市場習慣把所有與AI安全有關的公司打包討論。但拆開2026年半年報就會發現，幾家代表性公司的收入結構、利潤來源和現實矛盾並不相同。它們可以同時上漲，卻不能套用同一套業績邏輯。

深信服上半年實現營收39.98億元，同比增長32.85%；歸母淨利潤為2.31億元，而上年同期虧損2.28億元，扭虧幅度明顯。扣除非經常性損益後，公司淨利潤達到1.79億元。但拆開收入來源後可以看到，真正推動增長的並不是網路安全，而是雲端計算和AI基礎設施。上半年，深信服雲端計算及AI基礎設施業務實現收入22.12億元，同比增長58.60%，佔總收入的55.34%。網路安全業務收入為15.87億元，同比增長10.57%，收入佔比為39.69%。基礎網路業務收入1.99億元，同比增長10.78%。雲業務已經超過網路安全，成為深信服最大的收入來源。網路安全重回增長軌道當然值得肯定，但10.57%的增速與“AI安全爆發”仍有明顯距離。因此，將深信服簡單定義為AI安全標的並不準確。它更像一家企業AI基礎設施與安全平台供應商，受益於企業上雲、算力建設和安全治理的共同增長。AI Agent的普及確實可能同時拉動算力承載、資料儲存、Token治理和安全需求，但目前尚無法從財報中單獨拆出AI安全貢獻。

三六零上半年實現營收41.72億元，同比增長9.01%；歸母淨利潤為2.16億元，實現扭虧。公司同期研發費用達到15.78億元，佔營收的37.81%。從投入強度看，三六零仍然在AI和安全領域保持高投入。但從收入結構看，安全業務還不是公司的主要基本盤。上半年，三六零網際網路及智慧硬體業務收入為38.09億元，佔總收入的91.29%；安全業務收入僅為3.10億元，佔比7.44%。換句話說，公司九成以上收入仍然來自網際網路和智慧硬體，安全業務尚不足以主導整體業績變化。利潤來源也需要進一步拆解。三六零上半年投資收益達到2.04億元，同比增長77.43%，與公司2.16億元的歸母淨利潤規模非常接近。與此同時，經營活動產生的現金流量淨額仍為負5711萬元。三六零當前的AI安全敘事，主要建立在安全智慧體、大模型產品和消費端流量入口之上。它具備技術和使用者基礎，也擁有較強的市場認知度，但這些優勢距離形成可持續的企業安全收入，還有較長的商業化鏈條。

天融信如果只看業務純度和產品佈局，更接近傳統意義上的網路安全公司。公司已經推出大模型安全閘道器、API安全審計、多模態防護閘道器等產品，多項能力通過中國信通院評估，並在若干細分領域進入IDC相關報告。與深信服和三六零相比，天融信的AI安全標籤更直接，業務對映也更純粹。但從當期業績看，它也是三家公司中壓力最大的一家。天融信預計2026年上半年歸母淨利潤虧損2.4億至2.9億元，而上年同期虧損6469萬元；扣非淨利潤預計虧損2.55億至3.05億元，虧損幅度明顯擴大。公司對原因的解釋很明確：傳統網路安全產品需求復甦不及預期，新方向產品形成規模仍需時間。硬體成本上漲也在繼續擠壓利潤。公司披露，硬碟價格同比上漲3至5倍，記憶體價格同比上漲7至8倍。對於仍然具有較強專案制和硬體交付屬性的網安廠商，這類成本波動會直接影響毛利率。天融信由此呈現出一個頗為反直覺的現實：AI安全佈局最純粹的公司，當前業績反而最差。這並不說明其AI安全產品沒有價值，而是表明“擁有產品”和“形成規模收入”之間仍隔著很遠。產品通過認證、進入測試、完成首批訂單，只能證明公司拿到了入場券，無法證明市場已經進入放量階段。

“AI安全是長期藍海”大機率沒有錯，但這個判斷過於寬泛，也無法回答誰會真正賺到錢。要判斷這輪行情究竟是短期對映還是產業拐點，關鍵不在於統計廠商釋出了多少產品，而在於AI安全能否進入企業預算，能否形成單獨收費，並最終改變網安行業長期依賴專案交付的商業模式。企業從意識到安全風險，到真正採購產品，還要經歷預算審批、招投標、專案交付和驗收回款。對於投資者而言，比政策數量更有價值的指標，是政企安全專案中AI安全條目的佔比是否提升，相關專案的客單價是否增加，交付週期能否縮短，回款質量是否改善。只有當合規要求進入客戶的年度預算，政策需求才算真正轉化成產業收入。

海外市場已經初步證明，Agent安全最有價值的環節可能集中在身份治理、許可權控制、執行時監測和審計溯源。原因並不神秘。這些能力一旦嵌入企業核心IT流程，就會產生持續訂閱、高切換成本和穩定擴容需求。如果國內廠商長期停留在大模型閘道器、合規評測和一次性交付層面，即便行業需求增長，也可能繼續陷入低頻採購、價格競爭和收入波動。只有當產品能夠按照賬號數量、Agent數量或呼叫量收費，併產生穩定續約和擴容，AI安全才有可能把傳統專案制網安升級為平台型軟體生意。

回到700個Agent攻擊Hugging Face的事故。它確實是一場有價值的“警告射擊”。這起事件證明，對自主系統保持有效的人類控制，已經不再只是哲學討論，更是具體的工程問題、許可權問題和預算問題。海外AI安全已經開始通過訂單、ARR和營收指引進入財報，國內市場卻更多停留在產品認證、測試成單、政策驅動和主題對映階段。兩者之間不僅存在技術差異，更存在企業Agent滲透率、軟體付費習慣和商業模式上的差距。因此，真正需要警惕的並不是“AI安全有沒有機會”。它當然有機會。AI安全的錢最終會落進誰的口袋，不取決於誰的概念最純，也不取決於誰釋出的產品最多，而取決於誰能把Agent風險變成企業預算，把安全能力變成標準化產品，再把一次性訂單變成持續收入和可驗證的利潤。在那之前，AI安全是一條值得跟蹤的產業主線，但還不是一張可以跳過財報、直接兌現的支票。