企业 AI Agent 安全的两个数据洞穿现状:54% 已出事,50% 通过了测试还是失败客户

今天 AI 圈:VentureBeat 6 月连续做了两份 Pulse Research 调查,7 月 16 日同步把结论推出来。第一份(107 家企业):54% 已经经历 AI Agent 安全事件或近失事件,只有 30% 把高风险 Agent 放进沙箱。第二份(157 家企业):50% 部署过通过了内部评估、却在生产环境坑了客户的 Agent,只有 5% 完全信任自动化评估。两份报告合起来是一幅血淋淋的画:Agent 跑得比企业准备得快得多。

事件内容

第一份:Agent 安全断层(The agent security gap)

调查样本:107 家员工规模 100 人以上企业,数据为单次 6 月 2026 调查(自选样本,定向信号非精确测量)。

更刺眼的子数据:企业越大,越容易出事。100-1000 人企业的事件率 49%,1000+ 人企业事件率 63%——但同时,1000+ 人企业的沙箱使用率反而从 35% 跌到 20%。

钱也在动。Palo Alto Networks + CrowdStrike + Cisco 12 个月内合计向 AI Agent 安全方向砸了 220 亿美元(Palo Alto 收购 CyberArk 211 亿、CrowdStrike 收购 SGNL 7.4 亿、Cisco 收购 Astrix Security 4 亿)。

第二份:Agent 评估断层(The agent evaluation gap)

调查样本:157 家员工规模 100 人以上企业,数据为单次 6 月 2026 调查。

更要命的是:真正发生事故的企业里,大型企业(2500+ 人)发生率 54%、中小 48%——大型企业跑得更激进,却也没拦住失败。

三家头部安全厂商对应布局

并购节奏说明大厂认定这件事:

• Palo Alto 2 月 11 日完成对 CyberArk 的 211 亿美元收购(去年 7 月宣布时 250 亿,是公司史上最大交易)。
• CrowdStrike 收购 7.4 亿美元的 runtime authorization 平台 SGNL,并在 6 月 15 日推出了第一个整合产品 Continuous Identity for AI Agents。
• Cisco 5 月 4 日宣布以约 4 亿美元收购非人类身份专家 Astrix Security。

深度剖析

这两份报告戳破了一个具体幻觉:"通过评估 = 能上线"

传统软件开发的 eval 是单元测试 + 集成测试 + 端到端测试,这一套对输入输出有边界、错误可复现的系统很有效。

Agent 完全不是这类系统。Agent 的行为受 prompt、用户上下文、环境状态三者共同影响——同一段 prompt,在不同上下文下可能给出完全不同的输出组合。这意味着"自动化评估"能告诉你的最多是"在给定的一批测试用例上 Agent 表现良好"。

VentureBeat 用一句话把这层遮羞布撕了:"a passing eval is not the same as a working agent."

50% 部署过"通过评估但坑客户"的 Agent,这意味着企业内部用了评估作为质量门,但评估本身没能识别出生产环境的问题。29% 把"评估与现实不对齐"列为头号短板。

"零人参与全自动部署"——评估不够用但大家都在用

66% 已允许或正在做"零人参与的全自动部署"。

这是评估断层的核心矛盾:没人信任评估,但 66% 都在按评估自动部署——评估成了 Agent 上线的"自动栏杆",但栏杆本身没经过认证。

值得警惕的是走向零人部署最快的不是技术能力最强的企业,而是 2500+ 人的大型企业(70%)——这些企业的内部"数字运营/AI 治理"团队往往也最不熟悉新型 Agent 的失效模式。

共享凭证是事故放大的根因

54% 事件/近失 + 69% 共享凭证 + 30% 沙箱——这三个数字拼到一起是清晰的级联:一旦一个 Agent 被攻陷,共享凭证把这种损失放大到跟它一起跑的所有工作流;而 70% 的企业根本没有沙箱兜底。

这不是技术未知,是基础架构没跟上。机器身份(machine identity)在 CyberArk 的研究里已经到 82:1(机器:人类)——而大多数企业的 IAM 系统从设计上就没考虑过这个比例。Cisco 收购 Astrix Security 的官方公告里直接写"AI agents are now 'using (and abusing)' these credentials to execute work at scale",话说得很直白。

钱在流向哪里

220 亿美元的并购金额跟 Agent 安全市场的实际收入完全不成比例。这是一场押注——大厂相信"Agent 安全"会成为云时代的下一代 IAM 战场。

这反过来给了初创企业非常清晰的命题:不是再做一个 agent wrapper,而是写 agent identity、agent scoped credential、agent sandbox 这三个细分领域的产品。VentureBeat Pulse Research 给出了"距离完全成熟还有几年"的判断,fundraising 的故事可以扎实讲。

值得关注的原因

1. "通过评估"在 Agent 时代不再是质量门。任何企业内部上线 Agent 时,预先评估 + 生产实时验证这两套必须同时到位,只有前者的企业已经踩坑。
2. 共享凭证是最容易戳到的窟窿。如果你的 AI Agent 用的是公司的同一个 API key,这一条建议看一眼自己家的 IAM 政策。
3. Agent 安全是云安全的下一战。Palo Alto 211 亿、CrowdStrike 7.4 亿、Cisco 4 亿的并购价格意味着大厂已经买定离手,初创企业的窗口期是 12-24 个月。
4. 「评估断层」是 2026 H2 AI 治理的关键词。OpenAI ChatGPT Work、Anthropic Claude Code 的大规模企业推送会更恶化这件事。下半年会有更多"通过内部测试却坑客户"的 Agent 真实事故暴露。

风险与待观察

• 调查是单次 6 月 2026 截面数据,自选样本 + 中型市场偏重,应该看作"正在搭建 Agent 安全这件事的企业" 的视角,而不是最大运营商的。
• 5% 完全信任自动化评估不等于 5% 信任"全部评估"——可能有些企业还在用人工评估兜底,VentureBeat 没细分。
• 66% 自动化部署不等于真的零人——可能"低风险 Agent"的定义宽松到不构成真正风险。需要看后续分解数据。
• VentureBeat 是媒体机构,样本来自 Pulse Research 自有渠道——读数字时记得定语"self-selected"。

信息来源:

• VentureBeat:the agent security gap(107 家,2026-07-16):https://venturebeat.com/ai/the-agent-security-gap-54-of-enterprises-have-already-had-an-ai-agent-incident-and-most-still-let-agents-share-credentials
• VentureBeat:the agent evaluation gap(157 家,2026-07-16):https://venturebeat.com/ai/the-agent-evaluation-gap-enterprise-ai-organizations-have-a-reality-alignment-problem-not-a-coverage-problem-and-most-are-shipping-to-production-anyway
• 二次解读:https://valueaddvc.com/pulse/shared-api-keys-ai-agent-security-2026 与 https://saassentinel.com/2026/07/12/ai-agents-are-outpacing-enterprise-ability-to-verify-them