Column|Cybersecurity：事件短期收入拉动有限，2027 预算加速与自动化重定价才是主线

1. 这是「AI × 网络安全」研究系列的第三篇：

   • 10/28《AI 推动漏洞修复与持续防护需求增长》，我们测算了安全场景的TAM有望从约 $5–7b 扩到 $50–70b，其中安全厂商分到约 $10–20b，利好掌握客户环境与执行能力的平台厂商，而单点通用扫描/分析工具承压。

   Column|Cybersecurity: Customer Checks Show Enterprises Still Prefer to Access LLM Security Capabilities Through CSPs and Security Vendors

   • 11/05《客户调研仍倾向通过 CSP 和安全厂商消费 LLM 相关安全能力》，渠道调研显示，客户在不同厂商之间的分配：CSP 模型网关约 50%–60%、安全厂商约 20%–35%、直接向 AI Labs 约 10%–20% 且在下降。

   Column|Cybersecurity: AI Expands Demand for Remediation and Continuous Protection

   • 11/10本文通过更新渠道调研细节回答以下问题：安全厂商的预算增长何时体现、幅度有多大。

2. 本文的三个新判断

   • 安全事件短期内未必带来收入增长。PHP2Shell 主要靠补丁、现有工具和预算调拨消化，立即追加预算的客户不到 15%，对厂商当年收入的直接拉动有限。持续发生或影响严重的安全事件，以及长期攻防压力，才可能持续推动企业增加预算。
   • 预算增长主要体现在 2027 年：所覆盖客户安全支出增速将从 2026 年的 10%–12% 升到 2027 年的 13%–15%，增量集中在 AI 安全、AppSec/软件供应链、身份、云安全，成熟品类基本走平。
   • 更值得关注的是自动化对人工服务成本的影响，而非一次性事件带来的收入：扫描频率 3–10 倍、需人工处理的告警 1.5–3 倍、修复窗口压到 24 小时/3 个工作日；2027 年先自动化 10%–20% 的低价值外包，2–3 年内 25%–40%。

短期：补丁和预算调拨应急，新增采购以服务为主

PHP2Shell 的两个漏洞于 10 月 20 日泄露，次日发布补丁，约 70% 的网站使用 PHP，NSA 建议无法立即更新的系统先下线。我们访谈的安全负责人大多在几天内安装补丁并重启 PHP 进程，修复前使用 WAF 或虚拟补丁封堵风险入口；对没补丁的老版本，则限制请求大小、关闭上传进度跟踪等功能以降低风险。相比 Log4j，PHP 在大型企业核心系统中的应用较少，部署位置也更容易确认，处置更简单，通常无需采购新工具。

短期新增采购集中在外部暴露面持续评估（EASM）、应急响应和修复人力——只报告问题的扫描工具仍需配套修复工程师。产品采购优先沿用现有供应商（PANW 客户增购其产品、Cisco 客户优先检查现有许可），这一情况与 11 月 5 日报告中的采购渠道结论一致。

当年预算难以大幅调整，PHP 事件也未造成大范围实际损失。约 25% 的企业客户设有应急资金，70%–75% 的客户预算较为刚性；面临严重风险时，企业可能投入超过 100 万美元，大型企业一次紧急处置也可能超过 15 万、接近 50 万美元。更常见的是调拨现有预算、加快已批项目或动用下一年度资金，新增支出集中在 EASM、SCA 和漏洞扫描，高单价产品及长期能力建设则通常留到下一预算周期。GSI 专家表示，立即追加预算的客户不到 15%，平均只追加约 10%。