2024年3月，网络一家中型制造企业的安全ERP系统被勒索软件锁死，攻击者要价200万美元。行业事后复盘发现，发展入侵入口竟然是趋势一个离职员工未注销的VPN账号。这事听起来离谱，网络但在网络安全圈里，安全类似案例每隔几周就会冒出来一个。行业真正的发展问题在于：企业每年花在安全设备上的预算涨了15%以上，可攻击成功率并没有明显下降。趋势钱花出去了，网络效果没跟上，安全这就是行业当下行业最尴尬的现实。

传统边界防御的发展思路正在失效。防火墙、趋势入侵检测、终端杀毒这套组合拳，对付十年前的威胁绰绰有余，但面对供应链投毒、零日漏洞、AI生成的钓鱼邮件，基本处于被动挨打的状态。SolarWinds事件已经证明，攻击者不需要正面突破你的防线，只需要污染你信任的上游软件更新通道就够了。国内某头部券商2023年遭遇的一次攻击也类似——攻击者通过一个第三方运维工具的漏洞，横向渗透进了核心交易网络。你守得住自己的门，守不住别人递进来的钥匙。

零信任架构从概念走向落地，是这几年最明显的变化。不再默认内网就是安全的，每次访问都要验证身份、设备状态和权限。Google的BeyondCorp项目跑了好几年，国内一些互联网大厂和银行也在跟进。但说实话，零信任落地比宣传的要痛苦得多。一家银行的安全负责人跟我聊过，他们花了18个月才完成核心系统的零信任改造，期间业务部门投诉不断，因为频繁的身份验证确实影响操作效率。安全与体验的平衡，永远是道难题。

AI在这里扮演了双重角色。攻击侧，生成式AI让钓鱼邮件的语法错误消失了，社工库的利用效率大幅提升，甚至能自动化挖掘漏洞。防御侧，机器学习在异常流量检测、用户行为分析上确实比规则引擎好用。但别神化AI——某安全厂商的AI检测模型被曝出对特定编码的恶意流量误报率高达30%，因为训练数据不够多样。攻防双方都在用AI，目前来看攻击方跑得更快，因为他们的试错成本更低。

合规驱动仍然是国内安全市场的重要推手。《数据安全法》《个人信息保护法》加上各行业的等保要求，让不少企业不得不买安全产品。但这种"为了合规而合规"的心态导致一个怪现象：安全设备买了一堆，日志没人看，告警没人处理。某省级医院的信息科只有三个人，要管全院几千台终端的安全，根本忙不过来。安全运营人才的缺口，比安全产品的缺口更致命。

一个值得关注的趋势是安全服务的比重在上升。以前企业喜欢买盒子，现在越来越多地接受MSS（托管安全服务）。中小型企业养不起完整的安全团队，把监控和响应外包出去，反而更实际。360、奇安信这些厂商都在推安全运营中心的服务化交付。这个方向对行业是好事——安全不是卖硬件，是卖持续的能力。

供应链安全和云安全会是未来几年持续升温的领域。云原生架构的普及让容器安全、API安全成为新战场，而软件供应链的复杂性让SBOM（软件物料清单）从可选项变成必选项。美国已经强制要求联邦供应商提供SBOM，国内也在推相关标准。不过SBOM本身不解决安全问题，它只是让你知道自己的代码里掺了什么东西——知道了之后怎么管，才是真正的考验。

安全行业不缺概念，缺的是把概念变成可落地、可运营、可持续的工程能力。攻击者不会等你把架构图画完再动手。