思科：2025 年网络安全就绪指数

一句话看懂：全球企业网络安全成熟度连续两年停滞不前，仅有 4% 的企业达到成熟阶段，而生成式 AI 正成为安全防御与攻击的双刃剑：86% 的企业在一年内遭遇了 AI 相关安全事件，但治理能力严重滞后。这揭示了“高投入、低成熟”的结构性困境，对企业和开发者的安全策略提出了根本性挑战。

事件核心：发生了什么

思科发布的《2025 年网络安全就绪指数》显示，全球企业安全准备度成长乏力：高达 70% 的企业仍处于初级或形成阶段，成熟度呈现“低位锁定”。在攻击手法上，模型窃取（43%）、AI 增强社会工程（42%）和数据投毒（38%）成为主要路径，攻击已从传统漏洞转向智能化渗透。安全支柱发展严重失衡，仅有设备可信度有所改善（12%），而 AI 防护（7%）、网络韧性（7%）与云安全（4%）仍维持极低水平，网络韧性甚至出现倒退。尽管 97% 的企业增加了安全预算，但安全支出占 IT 预算的比例不升反降，从 53% 下滑至 45%，导致整体防护能力被稀释。

为什么重要

这份指数表明，AI 正在加速重塑网络攻防格局，但大部分企业尚未建立起与之匹配的防御体系。企业陷入“复杂性陷阱”：77% 的企业认为安全工具过多反而降低响应效率，70% 的企业部署了超过 10 种安全解决方案，但治理能力却未能跟上。同时，AI 治理缺口显著扩大：60% 的企业无法监测员工使用生成式 AI 的行为，也缺乏识别未授权 AI 工具的信心。这意味著，虽然企业在 AI 安全上投入增加（97% 的企业增加预算，其中 93% 增幅超 10%），但由于人才、架构与治理的滞后，投入难以兑现效率，整体安全防御能力正在被 AI 驱动的攻击复杂度碾压。

对开发者与企业安全负责人的影响

对开发者而言，这意味着在构建和使用 AI 应用时，必须将安全能力嵌入开发流程的最前端（Shift Left），而非事后补救。特别是在使用开源大模型、调用公共 API 或构建基于 RAG 的智能应用时，模型窃取、数据投毒等攻击风险会直接威胁到生产环境。对网络安全负责人而言，报告提示应警惕“安全工具堆叠”导致的效率下降，评估是否应从分散工具转向平台化整合；同时需要强化对员工使用未授权 AI 工具的管理能力，建立有效的监控与评估机制，尤其是在混合办公和分布式架构下，非托管设备接入（84% 的员工通过非托管设备接入系统）会急剧扩大攻击面。

值得关注的后续

1. 平台化安全架构是否会成为企业采购的主流方向？当前分散工具的局面因 AI 攻击加速而显得不可持续，可能推动头部安全厂商加快整合步伐。2. 小型企业（成熟度仅 2%）与大型企业（6%）之间的安全差距将持续拉大，这可能会催生出针对中小企业的 AI 安全托管服务（MSS）新产品。3. 随着只有 33% 的企业愿意完全自动化安全体系，AI 安全治理的信任瓶颈将如何打破？相关监管（如 AI 责任法案、数据安全法规）的推进节奏会直接影响企业对自动化安全的接受度。