Part 01 AI应用现状：普及度高但深度不足
本周在旧金山举行的RSAC 2026网络安全大会将成为一场以人工智能为主题的盛会。“AI将改变一切”的论调不绝于耳，但现实情况是：安全主管们正被要求在控制力增长滞后于复杂度的环境中部署AI技术。
企业仍在努力整合安全工具集的分散现状，同时实施零信任原则。为避免AI沦为又一层冗余，企业必须将AI与明确成果挂钩，并将智能融入运营流程。Enterprise Technology Research调查数据显示：90%的企业表示已在安全体系中应用AI，但75%的企业AI应用范围不足其安全组合的10%。这一数据差距量化了AI存在但尚未规模化的现状——多数部署局限于狭窄的战术层面，受制于数据访问可靠性、工具集成度、治理与信任等共同障碍。
Part 02 矛盾主题：Agent时代的“社区力量”
今年RSAC主题“社区力量”的设定颇具意味，因为会议焦点将集中在AI Agent上。过去十年间，安全行业协作性显著增强。如今新增的维度是：代表人类行事的机器Agent。
正确的解决之道是将Agent视为安全团队工作的补充。它们有时替代人力，有时增强人力，但本质是扩展而非取代社区。网络安全领域始终存在不同程度的社区协作，Agent只是该社区内可扩展、增强和补充人类工作的新工具。当AI真正帮助社区提升工作效率、助力从业者个人与团队成长时，这个看似矛盾的会议主题才能超越营销噱头。
Part 03 AI SOC的崛起：进步与谨慎并存
AI SOC将成为RSAC 2026最热门话题之一。厂商宣传正从辅助分析师的“副驾驶”转向能承担真实SOC工作的Agent——包括事件分级、调查、遏制乃至隔离主机、启动补丁流程等修复步骤。虽然方向诱人，但承诺与运营现实间的差距依然存在。
最具可信度的进展来自聚焦的用例。传统SOC淹没在警报海洋中，即使精锐团队也只能处理其中小部分。我们相信AI驱动的事件分级能将处理比例从15-20%大幅提升至最佳情况下的90-95%，这对受限于时间、注意力和数据量的专业人员意义重大。
安全团队天生保持谨慎，“人在回路”的思维仍根深蒂固。我们认为，务实做法是评估自动化在流程低效和数据瓶颈环节的价值，这应成为采用AI SOC的起点。当前现实是实施路径呈现分化：部分能力将叠加到现有平台和工作流，另一些则以更原生AI的方式出现。市场虽处早期阶段，但创新快速演进，RSAC将成为区分实质创新与品牌重塑的重要场合。
MSSP：规模化自动化的最快路径
最激进的AI SOC部署可能来自托管安全服务提供商（MSSP），原因很简单：MSSP业务利润微薄，通过招聘培训实现规模化的传统路径难以为继，尤其在人才争夺白热化的环境下。
这促使MSSP面临快速采用AI和流程自动化的经济压力。我们预计Arctic Wolf Networks、Expel、LevelBlue等大型MSSP将成为自动化部署的先锋——成功实施将提升利润率并扩大市场份额。这一被许多买家和厂商忽视的路径值得在RSAC期间重点关注。
Part 04 CTEM与可信数据要求
持续威胁暴露管理（CTEM）将吸引RSAC关注，因为静态漏洞扫描在机器速度运转的世界里已不适用。其前提是安全团队需要资产、配置、位置、漏洞、所有权和业务关键性的清晰视图，结合威胁情报和攻击者战术来确定优先级。
但CTEM成败取决于数据。首要问题是：数据是否可访问、可用且格式有效？数据可用后，下一步是上下文：哪些资产关键？关键路径如何？谁有访问权？系统配置是否正确？这些基础工作常被急于采用工具的人们忽视。
CTEM也无法作为通用产品即插即用，必须按行业、用例和组织定制。成功的厂商将是那些认清现实、能帮助落地而不仅销售平台的企业。
正确实施CTEM可带来：
- 更可靠的风险评分（区分“存在漏洞”与“实际暴露”）
- 基于攻击者历史利用模式和未来可能路径的预测分析
- 与IT运营更好协同（用映射业务关键性的优先级修复替代“发现1000个暴露面立即修补”式告警）
需注意的是，“先完善数据治理”可能成为限制性策略。安全界开展数据安全建设多年，但现实是数据量过大且增长过快。AI可加速高质量发现与分类，缩短实现更好控制的路径。等待完美数据清晰度没有意义，务实做法是并行推进：在构建数据基础的同时，使用AI塑造、清理并聚焦于当前任务的关键数据。
Part 05 网络弹性：能力而非产品
网络弹性是行业热衷营销但必须落地才有价值的概念。NIST将其分解为四个阶段：预测、抵御、恢复和适应，迫使团队突破单一控制或工具的局限。
任何宣称“销售网络弹性产品”的厂商都值得警惕——这绝非货架商品。工具可能支持框架的某部分，但网络弹性是多项能力协同的结果。正确起点是业务本身：识别必须保持弹性的系统和业务流程。以医疗行业为例，重点不是“医院弹性”而是“临床弹性”——即使系统宕机，组织仍需运作（哪怕退回到纸笔操作）。
具体实施需遵循NIST框架各阶段：
- 预测：理解威胁情报、攻击者和攻击方式，应用MITRE ATT&CK等框架，开展检测工程并优化控制措施
- 抵御：通过隔离确保局部入侵不影响核心资产，强化快速检测响应能力
- 恢复：聚焦快速上线机制，包括不可变备份和经过验证的恢复流程，确保高价值数据损失最小化
- 适应：从事件中学习，调整技术，完善流程，在CISO领导下进行针对性投入
专家经验表明：弹性取决于规划与测试。业务连续性和灾难恢复（BC/DR）通过演练才有效，而最坏情景总是未做预案的情况。真正的弹性意味着考虑这些场景、制定预案并测试验证。
终极目标不是产品组合，而是通过中断保持关键流程运行、限制系统入侵影响范围、快速可靠恢复运营的能力。我们认为，这应是CISO在RSAC评估“网络弹性”主张的思维框架。
Part 06 身份即边界治理：无密码与身份优先检测
2023年大会主题聚焦“身份危机”，而身份在RSAC 2026仍居核心——在网络边界早已消失的云应用、远程数据和分布式访问时代，身份成为安全新边界。我们关注的核心问题是：身份领域是真正进步还是新瓶装旧酒？
变化之一是组织层面的：过去安全团队在身份讨论中仅有列席权，如今则拥有决策权和主导声音。身份正将安全引入开发、IT运营和业务流程，因为事后追加已不可行。
我们建议的实践路径包括：
- 身份治理：AI持续评估权限（谁访问什么、是否符合角色、角色是否变更、是否应撤销访问），这非常适合Agent处理——高频重复且能通过行为学习规则与上下文。
- 无密码化：2026年密码仍存在令人费解。FIDO2、通行密钥等技术已就位，消费级身份认证正进入企业——人们使用通行密钥办理银行业务后，会质疑为何内部系统仍落后。
- 身份威胁检测与响应：聚焦身份中心型攻击与检测。由于窃取密码往往比利用软件漏洞更容易，企业需转向行为感知检测——理解用户日常工作场景下的“正常”行为并标记偏差。
- 人员风险管理：培训个性化而非广撒网。AI可识别易受钓鱼攻击人员，根据其学习偏好定制培训，并在需要行为矫正时即时推送。
理想的身份方案不仅是认证和配置，而是与业务流程和运营紧密结合的治理、行为和响应体系。若行业真欲淘汰密码，目标很简单：计算机见到你就应知你是谁。
Part 07 ETR数据：AI应用稳步增长但仍肤浅
Enterprise Technology Research的RSAC会前调查数据显示：尽管应用不均，RSAC 2026仍将充满AI氛围。
最新调查（517名受访者）显示：
- 仅5%表示未使用任何AI（实际可能更低，因机器学习嵌入安全工具已超十年）
- 51%受访者表示超过10%的安全工具应用AI（去年为40%）
- 16%表示超半数安全工具应用AI（去年为11%）
数据证实AI正稳步注入安全领域，但安全从业者天生的偏执使其担忧幻觉和黑箱行为。他们关注产品的运作机制、AI特征、模型构建者和构建方式——这些问题在Agent开始自主行动时尤为重要。我们建议保持谨慎乐观：保持怀疑、提出尖锐问题，但保持开放心态。
Part 08 AI全景：先治理，后可见性，再工具
AI将席卷2026年所有会议，RSAC也不例外。问题在于话题过于庞杂。为简化，我们聚焦两条主线——保护AI和防御AI增强型威胁，再回归运营计划。
防御者面临高管AI狂热与CISO理性管控风险的日常现实。成功关键在于全公司一致的治理框架。
建议的实施顺序如下：
- 治理：建立企业级统一框架，规范AI使用合理性、负责任AI应用开发及偏见风险管理。
- 可见性：掌握数据使用情况和使用者。影子AI是核心问题——谁在使用AI工具？是否暴露公司数据？
- 工具：在治理和可见性就位后引入规则执行控制，包括开发周期中的AI（DevSecOps）、生物识别访问的身份与活性检查、AI应用开发和使用规则的防火墙。
AI安全不是单一类别。MCP安全、认证、溯源、态势管理、DevSecOps、安全运维都被纳入讨论，因为攻击面正在快速扩展。
攻击向量方面，RSAC将充斥可怕叙事。务实做法是聚焦企业当前实际暴露点：治理缺口、未知AI使用、薄弱数据控制和执行不一致。这些才是2026年预算决策应关注的领域。
Part 09 工具整合 vs 平台化：更少厂商，更多集成，现实依旧
工具泛滥是多年痼疾，ETR数据仍反映真实安全体系中减少厂商的难度。约10%受访者预计未来12个月缩减网络安全厂商数量。更有意义的差异是预计增加厂商的比例从两年前51%降至当前35%，表明对新点工具的热衷正在降温。
大型企业数据显示更多变化。财富1000企业样本中16%表示正在减少厂商，明显高于平均水平。但更大启示在于：合理化对CISO而言是持续活动。
关键细微差别在于厂商整合不等于“平台化”：
- 厂商整合是“单一问责”策略，如新CISO在多个终端安全产品中选定单一厂商标准化。好处包括：更好议价能力、桌面支持和SOC团队的操作规模效益、更少控制台和工作流。
- 平台化是从单一厂商购买多样化但已集成的工具（威胁情报、EDR、SIEM、SOAR等），使SOC标准化于紧密连接的控制集。这对中小企业、地方政府等资源受限组织效果良好，但企业规模越大、环境越定制、威胁越多样、全球要求越复杂，单一平台越难适应。
平台化还带来“平台生态”优势：主要平台厂商提供定制集成的合作伙伴、开发者工具与服务、可代运营平台的专业服务商。这些确属优势，但高度异构的全球化企业很快会触及平台天花板。
集成理念各异。最终平台必须紧密集成，问题在于能否满足最严苛环境的需求。这解释了为何收购策略在安全行业持续盛行：厂商认为原生集成效果更佳。身份领域频现并购也源于此——若身份是核心要素，平台厂商要么深度合作要么直接收购，因为薄弱身份会侵蚀整个技术栈价值。
现实是：平台化对部分市场真实存在，整合持续发生，而创新仍推动新点工具进入大型企业。
Part 10 零信任等议题仍具现实意义
RSAC 2026将充斥各种话题——零信任、云安全、平台、IT/OT融合、后量子密码等，而走廊交谈的价值往往超过主题演讲。这正是RSAC的本质：议程庞大，但非正式交流才是人们验证事实、达成交易的核心场景。
零信任虽不如几年前夺目，但仍是实际投入的领域。它持续存在的原因在于其与身份、弹性等技术栈其他部分的关联。虽然可能不是舞台焦点，但相关讨论无处不在——当企业推进自动化时，必然需要更清晰的访问控制、更严格的政策执行和更好的隔离机制。
参考来源：
RSAC 2026 preview: AI hype meets operating model reality
https://siliconangle.com/2026/03/21/rsac-2026-preview-ai-hype-meets-operating-model-reality/
本文由 云栈社区 技术编辑整理，旨在提供前瞻性的行业技术分析。在AI重塑安全运营的当下，回归数据基础与流程协同，或许是跨越理想与现实鸿沟的第一步。
发表于 3 小时前
|
查看: 4|
回复: 0
