厂商信息为公开资料整理截至 2026 年 10 月能力描述以各厂商公开资料为准排列不构成排名。法规条款以官方发布文本为准。2023 年春天三星半导体部门的工程师为了排查代码问题把一段源代码粘贴进了 ChatGPT。几周之内类似情况发生了数起三星随后限制了员工在公司设备上使用生成式 AI。这件事之所以被反复引用不是因为它多严重而是因为它太普通工程师没有恶意只是想把工作做快一点。三年后这个问题的规模变了。员工用的不再是一个聊天窗口而是几十个嵌入在浏览器插件、办公套件、代码编辑器里的 AI 功能企业自己的应用开始调用大模型 APIAgent 开始替人执行操作。数据泄漏的路径从人把内容粘贴出去扩展到了应用把数据发出去和Agent 把数据带出去。AI 安全网关要管的就是这三条路径。一、AI的三条泄漏路径三种防护难度1. 人用 AI员工通过浏览器或客户端访问公共 AI 服务。难点在于看不见——大多数 AI 应用走 HTTPS传统防火墙只能看到域名看不到内容新的 AI 工具每周都在出现黑名单永远追不上。2. 应用调用 AI企业的客服系统、知识库、数据分析平台通过 API 调用大模型。难点在于分不清——同一个 API 通道里既有正常的业务数据也可能混入客户隐私、合同条款、财务数据必须在内容层面识别和处理。3. Agent 执行Agent 读取企业数据、调用工具、把结果写回系统或发给外部。难点在于拦不及——Agent 的一次任务可能包含几十次模型调用和工具调用任何一环被 Prompt 注入操纵都可能导致越权操作。OWASP 发布的大模型应用十大风险2025 版把Prompt 注入和敏感信息泄露列在前两位2026 年又发布了面向 Agent 应用的十大风险清单。这两份清单基本勾勒出了 AI 安全网关的能力边界。AI 数据泄漏的三条路径与六大能力覆盖二、AI安全网关的六大能力模块AI 安全网关检测流水线工程视图模块一AI 资产发现影子 AI 识别先回答企业里到底有哪些 AI 在用。通过流量识别发现员工访问的 AI 应用、应用调用的模型 API、正在运行的 MCP 服务形成 AI 资产清单并标注风险等级。技术上依赖两件事一是 SSL 解密否则只能看到域名二是持续更新的 AI 应用特征库。评估时可以问厂商特征库覆盖多少 AI 应用更新频率如何能否识别嵌入在 SaaS 产品里的 AI 功能。模块二身份与访问控制不是简单地允许或禁止 ChatGPT而是按人、按部门、按应用、按数据分级做细粒度控制。比如研发可以用代码助手但不能上传整个代码库市场部可以用文案工具但不能上传客户名单。这一模块要和企业现有的身份体系AD、LDAP、企业微信、钉钉、飞书等打通否则策略只能按 IP 配置形同虚设。模块三输入检测Prompt 注入与越狱防护识别试图绕过模型安全限制的输入包括直接注入“忽略之前的指令”和间接注入藏在网页、文档、邮件里的恶意指令被 Agent 读取后执行。间接注入是 Agent 时代的主要威胁因为攻击者不需要接触用户只需要污染 Agent 会读取的内容。检测方式通常是规则加上专门训练的分类模型。关键指标是误报率误报高了业务部门会要求关掉。模块四数据防泄漏DLP在内容层面识别敏感信息身份证号、手机号、银行卡号这类结构化数据相对容易源代码、合同条款、内部财务数据这类非结构化敏感信息更难需要结合企业自定义的分类规则与语义识别。处理动作不只有拦截。更实用的做法是脱敏后放行——把身份证号替换为占位符再把模型的回答还原回来业务照常进行敏感数据不出去。模块五输出过滤检查模型返回的内容是否包含不当内容、是否泄漏了训练数据或系统提示词、是否包含恶意代码或链接。面向公众提供服务的 AI 应用还需要满足《生成式人工智能服务管理暂行办法》对生成内容的要求。模块六审计与合规留痕记录谁、在什么时间、通过什么应用、向哪个模型发送了什么类别的内容以及策略执行结果。审计日志本身也是敏感数据存在哪里、保留多久、谁能查看需要在部署前想清楚。《网络数据安全管理条例》自 2025 年 1 月 1 日起施行对数据处理活动的记录与管理提出了明确要求。三、AI安全网关的三条技术路线六个模块在不同厂商那里有不同的实现方式大体分为三条路线。三条技术路线检测发生在哪里、内容在哪里可见路线一网络接入层部署在企业网络出口或分支接入点部署所有 AI 流量必经此处。优势是覆盖全面、不依赖终端安装客户端并且可以私有化部署审计数据和敏感内容不离开企业。适合对数据主权要求高、分支多的企业。路线二云化安全服务SSE / SASE流量被引导到厂商的云端安全节点做检测。优势是部署快、规则更新及时适合已采用 SASE 架构的企业。需要评估的是内容检测在云端完成敏感数据是否允许经过第三方节点。路线三应用侧护栏以 SDK 或 API 形式嵌入企业 AI 应用在调用模型前后做检测。优势是与业务结合紧、语义理解深局限是只管得了接入它的应用管不了员工自行访问的外部 AI。四、AI安全网关13 家国内外厂商图谱网络接入层 / 本地部署型1. 犀思云 私有 AI 网关 PAG一句话介绍犀思云2012 年成立的企业网络 NaaS 服务商面向数据不出域场景推出的网络层私有 AI 网关以能力形态装载在企业现场的融合网关uCPE或虚拟网关上。主要能力• 统一接入多家大模型按人、部门、应用做 RBAC 权限控制与多租户隔离• Prompt 脱敏与违规拦截在企业本地闭环只有脱敏后的必要请求受控出域• 调用审计与 Token 计量日志、密钥留存在企业边界内• 集成 Fortinet 安全能力提供 AI 应用识别、SSL 解密与内容级 DLP 的“AI 访问安全”方案优势检测点位于网络接入层总部、分支、海外子公司的 AI 流量都能就近纳管不依赖终端安装客户端私有化形态下控制与数据均驻留本地犀思云作为服务商不读取、不留存业务内容访问海外模型时可经自有 SDN/SRv6 全球骨干承载厂商口径。**适合谁**汽车、AI、政企、跨国制造等对数据主权要求严格、分支多或有跨境 AI 调用的企业。2. Fortinet FortiAIGate一句话介绍Fortinet 推出的 AI 运行时安全网关部署在应用与大模型之间是其 Secure AI Data Center 方案的组成部分。主要能力• 实时检测 Prompt 注入、数据外泄、资源过度消耗与模型窃取等风险并对照 OWASP 大模型风险清单呈现• 提供 API 网关、限流与 DDoS 缓解能力• 以 Kubernetes 容器化微服务方式部署可借助 GPU、SmartNIC 加速检测• 与 Fortinet Security Fabric、FortiSIEM 联动优势与 FortiGate 防火墙体系同源AI 防护策略与日志可直接纳入现有安全运营流程支持私有与混合 AI 环境本地与云上模型均可覆盖。适合谁已大量使用 Fortinet 产品、正把私有大模型从试点推向生产的企业。3. F5 AI Gateway 与 AI Guardrails一句话介绍应用交付与安全厂商 F5 的 AI 流量管理与防护组合AI Guardrails 能力来自 F5 在 2025 年对 CalypsoAI 的收购。主要能力• 可自托管的 AI 网关对模型调用做路由、流量控制与可观测• 对 Prompt 与模型响应执行策略检查防范注入与敏感数据泄露• 提供上线前的红队式风险评估• 与 F5 负载均衡、Web 应用防护体系协同优势在数据中心流量管理与应用交付上积累深适合把 AI 防护放在既有应用交付链路上统一治理不必另起一套架构。适合谁已使用 F5 产品、在自有数据中心或私有云部署 AI 应用的大中型企业。云化安全服务型4. Palo Alto Networks Prisma AIRS一句话介绍Palo Alto Networks 的 AI 运行时安全平台2026 年 5 月完成收购 Portkey 后以其作为平台的 AI 网关。主要能力• 模型扫描、AI 安全态势管理与红队测试• 运行时检测模型调用、Agent 与 MCP 流量中的威胁和数据泄露• 借助 Portkey 网关统一管理模型、Agent 与 MCP 服务器提供路由、缓存、配额与审计• 对 Agent 交互施加最小权限的 AI 身份控制优势把网关与安全平台合为一体覆盖从开发、测试到运行的完整周期并能与其防火墙、SASE 产品线协同。适合谁已采用 Palo Alto 安全体系、正在大规模推进 Agent 应用的大型企业。5. Zscaler AI 安全一句话介绍零信任安全厂商 Zscaler 在 Zero Trust Exchange 平台上提供的生成式 AI 访问管控与数据防护能力。主要能力• 发现员工使用的 AI 应用并评估风险按用户与应用分级管控• 对 Prompt 做内联 DLP 检测阻止敏感数据上传• 借助浏览器隔离限制复制粘贴、文件上传等高风险操作• AI Guard 为 AI 应用提供内容护栏优势复用既有零信任与 SSE 架构员工侧 AI 使用管控部署快、覆盖面广。适合谁已使用 Zscaler 零信任产品、以管控员工访问外部 AI 为主要诉求的企业。6. Cloudflare Firewall for AI一句话介绍运行在 Cloudflare 全球边缘网络上的 AI 应用防护能力面向企业对外提供服务的 AI 应用。主要能力• 在边缘侧检测 Prompt 注入与滥用请求• 识别请求中的敏感信息防止泄露• 与 Cloudflare WAF、限流、Bot 管理协同• 与 AI Gateway、MCP 服务器门户在同一平台管理优势无需自建基础设施对外 AI 服务直接借助边缘网络获得防护与抗攻击能力上线快。适合谁面向公众或客户提供 AI 对话、Agent 服务的互联网企业与 SaaS 厂商。7. Cisco AI Defense一句话介绍Cisco 基于收购的 Robust Intelligence 构建的 AI 安全产品覆盖 AI 资产发现、模型验证与运行时防护。主要能力• 发现企业内部使用和部署的 AI 应用与模型• 对模型做自动化漏洞验证红队测试• 运行时护栏检测 Prompt 注入、数据泄露与有害输出• 与 Cisco 安全云及网络产品集成优势从网络与安全两侧同时切入适合在 Cisco 网络体系内统一 AI 安全策略。适合谁已大量使用 Cisco 网络与安全产品的大型企业。8. Check PointLakera一句话介绍Check Point 于 2025 年宣布收购 AI 安全公司 Lakera将其 Prompt 注入防护能力纳入安全平台。主要能力• Lakera Guard 实时检测 Prompt 注入、越狱与数据泄露• 面向 AI 应用与 Agent 的运行时防护 API• 红队测试评估 AI 应用风险• 与 Check Point 安全管理平台整合优势Lakera 在 Prompt 注入攻防上积累了大量样本以 API 方式接入改造量小。适合谁自研 AI 应用、需要快速叠加注入防护的企业以及已使用 Check Point 的企业。9. SentinelOnePrompt Security一句话介绍端点安全厂商 SentinelOne 在 2025 年收购 Prompt Security 后形成的生成式 AI 安全能力。主要能力• 可视化员工使用的生成式 AI 工具与数据流向• 检测并脱敏 Prompt 中的敏感信息• 保护企业自研 AI 应用防范注入与越狱• 覆盖代码助手等开发场景优势可与端点安全产品联动从终端侧管住 AI 使用。适合谁以终端管控为主、已使用 SentinelOne 的企业。10. CrowdStrike Falcon AIDR一句话介绍CrowdStrike 基于 2025 年收购的 Pangea 构建的 AI 检测与响应AIDR能力。主要能力• 对员工与 Agent 的 AI 交互提供 Prompt 级可见性• 检测注入、敏感数据外泄与策略违规• 与 Falcon 平台的威胁检测与响应流程打通优势把 AI 风险纳入既有检测与响应流程安全运营团队可以在同一平台统一处置。适合谁已使用 CrowdStrike Falcon、希望把 AI 风险并入 SOC 运营的企业。国内大模型安全型11. 奇安信 大模型卫士一句话介绍奇安信面向大模型与 AI Agent 的安全防护产品覆盖访问管控、内容审计与攻击防御。主要能力• 对大模型和 AI Agent 统一授权精细化管理权限• 输入输出双向内容审计识别敏感信息、恶意指令与违规内容• 防御提示注入、对抗样本等新型攻击• 全链路日志与风险溯源优势支持纯软件与软硬一体多种形态无需改造模型和业务代码即可接入已在政企、金融、能源等行业落地厂商口径。适合谁对国内合规与本地化服务要求高的政企、金融、能源类机构。12. 深信服 大模型安全护栏一句话介绍深信服以“攻击进不来、有害内容出不去”为目标的大模型应用实时防护产品。主要能力• 快速分类模型与深度研判模型协同兼顾低时延与隐蔽威胁识别• 多模态检测可识别图片中的隐写指令• 支持同步、异步与流式检测内置 bypass 机制保障业务可用性• 提供 API、SDK、探针、反向代理等对接方式支持私有化部署优势据厂商披露在网信办 2025 年人工智能技术赋能网络安全应用测试的相关场景中排名第一可与其零信任、风险治理产品组合使用。适合谁自建大模型应用客服、RAG、智能体等、需要私有化部署的企业。13. 天融信 大模型安全网关一句话介绍天融信面向自建大模型与互联网出口的 AI 安全网关TopLMG主打透明代理、业务零改造接入。主要能力• 文本、文档、图片、音视频多模态内容合规检测• 编码对抗检测与流式输出拼接检测• API 资产自学习、访问控制与 Token 限流• 提示词注入检测与五层纵深防御优势透明代理部署不改动既有系统适配信创环境据厂商披露获得公安部第三研究所大模型安全防护围栏产品认证增强级。适合谁工业、信创等业务连续性要求高、有国产化与私有化需求的场景。路线代表厂商更适合网络接入层 / 本地部署犀思云、Fortinet、F5数据不出域、多分支、跨境云化安全服务Palo Alto、Zscaler、Cloudflare、Cisco、Check Point、SentinelOne、CrowdStrike已采用 SASE / 零信任架构国内大模型安全奇安信、深信服、天融信国内合规与本地化服务五、AI安全网关选型的 6 个问题1. SSL 解密在哪里做证书怎么管不解密就看不到内容解密点的位置决定了敏感数据会经过哪里。2. 检测在哪里完成本地、厂商云端还是第三方模型服务如果用大模型做检测检测本身是否会把数据发出去3. 误报率和延迟是多少要求用企业自己的样本做测试。流式输出场景下输出过滤会不会让首字返回明显变慢4. 能否脱敏放行而不只是拦截一刀切的拦截最终会被业务部门绕过。5. 覆盖哪几条路径人用 AI、应用调用 AI、Agent 执行分别靠什么能力覆盖6. 审计日志存在哪里是否满足企业所在行业的留存与访问要求。写在最后AI 安全的难点不在技术而在平衡管得太松数据在不知不觉中流出去管得太紧员工会用私人手机绕过所有防线。好的 AI 安全网关应该让合规地用 AI比偷偷地用 AI更方便。这也是选型时最值得验证的一点。附数据来源与参考资料OWASP Top 10 for LLM Applications 2025OWASP Top 10 for Agentic Applications 2026来源OWASP GenAI Security ProjectCheck Point 收购 Lakera、F5 收购 CalypsoAI、CrowdStrike 收购 Pangea来源各公司公告Pillar Security 2026 行业梳理Fortinet FortiAIGate来源Fortinet 官网与文档奇安信大模型卫士、深信服大模型安全护栏、天融信大模型安全网关来源各厂商官网《网络数据安全管理条例》2025-01-01 施行来源中国政府网说明厂商信息为公开资料整理标注厂商口径的数字以书面承诺为准性能数字均为参考值以实测为准。