这可不是纸上谈兵，而是实打实的实战演练。研究人员已证实，部分智能体技能文件会在预处理阶段——甚至在AI模型读取第一个词元之前——就悄无声息地外泄SSH密钥与云凭证。这意味着模型自身的安全推理机制根本来不及介入。针对公共智能体技能仓库的首份大规模审计显示，约4000个技能中超过三分之一存在安全缺陷，其中76个被确认为恶意。而编码智能体框架本身也在不断累积CVE漏洞：包括白名单绕过、预信任执行，以及默认配置下形同虚设的沙箱模式。

在我看来，可以这样极简地概括：受信任的软件长出了“手脚”。没有新软件安装，也没有明显的恶意迹象。你的安全团队去年针对那款IDE、那个浏览器、那款SaaS应用做出的信任决策，如今已然失效——而当初做出决策的那些工具，根本无法察觉哪里出了问题。

有人会反驳：EDR难道看不见这些吗？一个智能体读取SSH密钥并将其外传，无非就是一个进程树、一次文件访问和一次网络事件，属于经典的遥测数据，不过是“就地取材2.0”罢了。这话没错，从技术机理上看确实一览无余。

但行为检测历来依赖“罕见性”来识别威胁。Word启动PowerShell之所以显眼，是因为它反常。而智能体正在让这种反常变成常态。一个编码智能体合法读取.env文件、每小时启动上百次Shell、全天调用API——恶意操作链与正常生产操作链在进程层面完全一致。阻断其一，就会误伤其二。区分二者的信号已经上移了一个层级：它不再存在于系统调用中，而是隐藏在语义里——README里写了什么、工具调用的真实意图是什么、操作是否符合人类的实际指令。进程遥测数据中，根本没有“指令由谁编写”这一字段。

更何况，响应窗口期已经关闭。传统的“检测—响应”模式预设了攻击者的驻留时间。而注入的恶意智能体链条在数秒内即可完成——在预处理的案例中，甚至赶在模型运行之前就已得手。

看看老牌厂商的钱包动向便知端倪。微软Defender的最新能力转向审查智能体循环而非进程；CrowdStrike直言提示词就是新型恶意软件。如果昨日的传感器能回答今天的问题，这些产品根本不会出现。

市场成型的速度快过品类定义的速度

Gartner称，到今年年底，40%的企业应用将内置任务专用AI智能体，而一年前这一比例不到5%。Verizon《数据泄露调查报告》（DBIR）显示，一年内，定期在公司设备上使用AI的员工占比从15%跃升至45%——其中三分之二是通过安全团队从未监测到的个人账号进行的。

自上而下算笔账：Gartner估算今年AI软件支出约4530亿美元，较2025年增长约60%——即便增速减半，三年内也会突破1万亿美元。将其中的四分之一落在或通过终端流转，再按安全行业老规矩约5%的附加率计算，可得当前市场约60亿美元，并向约150亿美元规模演进。作为参照：Gartner测算整个终端保护市场当前约180亿美元，到2028年将以年均约11%增至约260亿美元。届时，这个新品类规模将接近EDR的一半，而增速是其3倍。

五路押注，直指同一病灶

剥去营销包装，这股新浪潮中的产品可归为五种截然不同的路径。此处不提厂商名号——打法远比Logo重要，况且多数公司最终都会把这五套活儿全干了。

背景审查。在软件、程序包、AI工具获准“上岗”前，先过一遍安检。这是准入控制。老炮儿们一眼就能认出，这就是当年的白名单机制——一个因运维之痛在十五年前折戟的品类。新的赌注在于：AI终于能以业务无感的规模，完成过去必须排队等待人工审核的筛查工作。

行为督导。实时盯住正在发生的操作——无论来自人类还是智能体——在屏幕与工作区层面研判每项操作背后的意图，并在酿成大错前及时叫停。这是DLP（数据防泄漏）与内部风险管理的基因重组，搭载了足以快过操作速度的端侧小模型。这是五项中最难的机器学习课题，误报率将决定其生死。

关卡拦截。盘清所有智能体资产，将每一项操作归因至具体责任人，并在触碰系统与数据前进行实时拦截：放行、阻断或挂起审批。这是EDR剧本在更高层级的复刻——传感器、情报源、在线执行——只不过瞄准的是工具调用，而非进程。

内线潜伏。直接插桩智能体运行时环境。在框架内部埋设钩子，监控操作系统级传感器根本看不到的预处理与工具分发环节。前文提到的凭证窃取研究就是最有力的卖点：如果你的传感器蹲在操作系统的层级，等你看见数据时，黄花菜早就凉了。

全景观测。放弃强制执行，赢在态势感知。在开发者笔记本上免费部署探针，捕获智能体的全部行为——每一条提示词、每一次文件读写、每一个进程与连接——进而告诉CIO，那些真金白银的AI投入到底换来了什么。这是典型的自下而上打法，毕竟当下的智能体密度，就集中在开发机上。

这五条路径的共同底色：驻守终端、侧重预防、向同一位CISO收费。记住这个“预防”属性，后面还要提到。值得注意的是，每家路线图上的未来规划，往往就是另外四家的现有产品。这个品类尚未成型，便已注定走向整合。

这次，老牌巨头是有备而来

与2011年最大的不同在于：

Palo Alto ——于2026年2月收购Koi，并亲自命名了这一新品类：“智能体终端安全”（Agentic Endpoint Security）。Koi被接入早已成型的Prisma AIRS平台——AI网关、智能体身份认证、红队演练、运行时强制与模型扫描，尽在一处。

CrowdStrike ——2025年9月拿下Pangea，并于12月正式推出Falcon AIDR。单一轻量级传感器横跨终端、应用、智能体、MCP服务器、AI网关及云端，实时盘点智能体资产清单——无论是Claude Code、Cursor、Copilot，还是未经批准的“影子智能体”。他们的断言很直接：提示词就是新型恶意软件。

SentinelOne ——斥资约2.5亿美元收购Prompt Security，并将其融入Singularity平台：自动发现包括影子AI在内的所有在用AI工具与代码助手，针对超过1.5万项AI服务实施实时策略管控与数据脱敏，并以在线模式对接Copilot、Cursor与Claude Code，确保机密信息与知识产权绝不出境。

微软 ——直接将能力内建于Defender for Endpoint。自动发现本地AI智能体与MCP服务器，进而审查智能体循环本身——包括用户提示词、运行前的工具调用、运行后的工具响应——在执行前审计或阻断提示词注入及高危操作。无论是编码助手、CLI工具还是桌面AI应用，皆可覆盖。而且，它依托的是你的设备群早已部署的Defender许可证。

做个对照：昔日杀毒巨头花了近十年才对EDR拿出像样的回应。而这一次，这四大巨头仅用数月便完成了第三回合的布局，且主要靠并购。当然，有个不争的事实：买下不等于整合。目前不少功能尚处预览阶段，形态受制于生态，且背负着沉重的集成债务。但“老牌厂商还在睡大觉”这种论调，已无人敢轻易买单。他们清醒得很，且仍在四处扫货。

还有一股势力是上一回合不存在的：AI平台厂商自身。Anthropic、OpenAI和谷歌正在其智能体运行时中原生构建沙箱、权限策略、凭证库与网关。第二回合时，我们无需担心“威胁的操作系统厂商”；而在第三回合，发布智能体的公司同时也提供管控手段——至于他们是将框架开放给第三方插桩，还是闭门造车，将决定留给其他玩家的生存空间还剩多少。

与此同时，分析师们已在业内流传一个新品类名称：“终端控制与预防”（Endpoint Control and Prevention）。当品类名称先于营收出现，一场跑马圈地的争夺战便已打响。

第三回合不会重演第二回合的剧本

四个不对称性，其中大多数都在打破这个叙事里浪漫的那一面。

老牌厂商不再是当年的迈克菲。2011年的迈克菲迟钝、被特征码绑定、架构僵死。而今天的领跑者健康、云原生、善并购，且已部署在全球40%的终端上。渠道即平局决胜权，而他们握着这张牌。

采购方没有迁移——至少目前没有。这场战争里的每一美元，无论挑战者还是守成者，都盯着同一个CISO的钱包，也就是原本付EDR账单的那只手。第二回合的增长催化剂是“新工位”的诞生；第三回合没有新工位。除非它正在此刻成形：IBM的CEO研究显示，大型组织中设首席AI官（CAIO）的比例一年内从26%飙到76%，而这个工位掌控着安全厂商目前分不到一杯羹的AI转型预算。AI安全会不会在这里沉淀出独立预算科目，还是继续裹在CISO既有盘子裡，是决定第三回合赢家体量的最关键变量。

预防回来了。早该如此——但这部片子我们看过。第二回合Cylance高举“预防优先”，以14亿美元卖身BlackBerry后渐隐，而“检测—响应”路线却养出了市值约千亿美元的CrowdStrike。这一波等于穿着更好的AI外衣重押Cylance的旧注。或许推理引擎终于能让预防在不耽误业务的前提下跑通，这确实是新变量；但举证责任仍落在2013年它该落的地方。

挑战者的算式里没有中间值。入场收购价悄悄切掉了1–30亿美元的战略退出通道——而大多数优秀安全公司真正的归宿本就是这条通道。这一波要么奔着平台级结局去，要么归零。桌上每个人都在押注复制CrowdStrike的结局，可那个结局在历史上只发生过一次。

大概率终局：被巨头吞并

终端天然厌恶智能体泛滥。没人想在设备上装第五个传感器，而这场吞并潮早在今年2月的收购案中就已拉开序幕。这一波创业公司大多将栖身于四大平台之内，最终的收购价是赚是亏，全看卖家在被收购前的增速有多猛。

破局终局：新平台横空出世。这需要两个条件至少占其一：采购方发生迁移（即设立拥有独立安全预算的AI办公室），或某家老牌巨头像当年的迈克菲一样摔个大跟头。2011年这两个条件恰好同时发生——这也正是CrowdStrike式奇迹如此罕见的原因。我不会拿基准预期去否定这种可能，但我愿意为此下一注。

缩水终局：层级上移。智能体工作向托管云平台集中，平台原生管控手段被证明“够用”，导致“AI终端安全”的市场规模远低于资本预期。业内做产品和投钱的人没人提这一茬，这通常意味着它值得被分配一个概率权重。

黑天鹅：前沿实验室亲自下场买单。谷歌收购Wiz并非出于对安全的爱，而是为了买一张“信任层”，让企业安心把业务跑在它的云上。把这套逻辑下沉一层：如果智能体成了干活的主流方式，那么掌控智能体控制平面的实验室，就能卖出更多智能体。由前沿实验室充当买家、上演一出现实版“Wiz式”收购，绝非天方夜谭。但别忘了，Wiz在被谷歌盯上前已手握约5亿美元ARR，且是多云领域的事实标准。没人会为一张路线图豪掷300亿。这条路的前提是：先要有疯狂的渗透率，还得有一个愿意中立地守护竞争对手智能体的买家。

在终局揭晓前，四个信号将提前指明方向：

→ CISO预算中是否开始出现独立的AI安全科目？

→ 头部巨头的核心产品与研究人才是否开始外流？当年没人离开迈克菲，直到它彻底陷死。盯紧谁在往哪儿跳。

→ AI平台厂商会将框架开放给第三方插桩，还是彻底封闭？

→ 真实的智能体密度是否会从开发机扩散至全员终端？

铃声已经敲响

当工作单元发生质变，终端便会迎来推倒重来的时刻。如今，工作单元正在改变——从文件，到行为，再到意图。

第一回合耗时十年才见分晓，第二回合大约用了五年。而第三回合，从零起步到四大巨头接连出手收购，再到掀起九位数融资潮，仅用了约十五个月。

无论最终胜者是谁，战争已然打响。

你是在构建、收购，还是在押注终端的第三幕？

原文链接：

https://www.techoperators.com/insights/the-endpoint-wars-just-restarted

声明：本文来自安全喵喵站，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。