厂商信息为公开资料整理，截至 2026 年 10 月；能力描述以各厂商公开资料为准，排列不构成排名。法规条款以官方发布文本为准。

2023 年春天，三星半导体部门的工程师为了排查代码问题，把一段源代码粘贴进了 ChatGPT。几周之内类似情况发生了数起，三星随后限制了员工在公司设备上使用生成式 AI。这件事之所以被反复引用，不是因为它多严重，而是因为它太普通：工程师没有恶意，只是想把工作做快一点。

三年后，这个问题的规模变了。员工用的不再是一个聊天窗口，而是几十个嵌入在浏览器插件、办公套件、代码编辑器里的 AI 功能；企业自己的应用开始调用大模型 API；Agent 开始替人执行操作。数据泄漏的路径从"人把内容粘贴出去"，扩展到了"应用把数据发出去"和"Agent 把数据带出去"。

AI 安全网关要管的，就是这三条路径。

一、AI的三条泄漏路径，三种防护难度

1. 人用 AI

员工通过浏览器或客户端访问公共 AI 服务。难点在于"看不见"——大多数 AI 应用走 HTTPS，传统防火墙只能看到域名，看不到内容；新的 AI 工具每周都在出现，黑名单永远追不上。

2. 应用调用 AI

企业的客服系统、知识库、数据分析平台通过 API 调用大模型。难点在于"分不清"——同一个 API 通道里，既有正常的业务数据，也可能混入客户隐私、合同条款、财务数据，必须在内容层面识别和处理。

3. Agent 执行

Agent 读取企业数据、调用工具、把结果写回系统或发给外部。难点在于"拦不及"——Agent 的一次任务可能包含几十次模型调用和工具调用，任何一环被 Prompt 注入操纵，都可能导致越权操作。

OWASP 发布的大模型应用十大风险（2025 版）把"Prompt 注入"和"敏感信息泄露"列在前两位，2026 年又发布了面向 Agent 应用的十大风险清单。这两份清单基本勾勒出了 AI 安全网关的能力边界。

AI 数据泄漏的三条路径与六大能力覆盖

二、AI安全网关的六大能力模块

AI 安全网关检测流水线（工程视图）

模块一：AI 资产发现（影子 AI 识别）

先回答"企业里到底有哪些 AI 在用"。通过流量识别发现员工访问的 AI 应用、应用调用的模型 API、正在运行的 MCP 服务，形成 AI 资产清单，并标注风险等级。

技术上依赖两件事：一是 SSL 解密，否则只能看到域名；二是持续更新的 AI 应用特征库。评估时可以问厂商：特征库覆盖多少 AI 应用，更新频率如何，能否识别嵌入在 SaaS 产品里的 AI 功能。

模块二：身份与访问控制

不是简单地"允许或禁止 ChatGPT"，而是按人、按部门、按应用、按数据分级做细粒度控制。比如研发可以用代码助手但不能上传整个代码库，市场部可以用文案工具但不能上传客户名单。

这一模块要和企业现有的身份体系（AD、LDAP、企业微信、钉钉、飞书等）打通，否则策略只能按 IP 配置，形同虚设。

模块三：输入检测（Prompt 注入与越狱防护）

识别试图绕过模型安全限制的输入，包括直接注入（“忽略之前的指令”）和间接注入（藏在网页、文档、邮件里的恶意指令，被 Agent 读取后执行）。间接注入是 Agent 时代的主要威胁，因为攻击者不需要接触用户，只需要污染 Agent 会读取的内容。

检测方式通常是规则加上专门训练的分类模型。关键指标是误报率：误报高了，业务部门会要求关掉。

模块四：数据防泄漏（DLP）

在内容层面识别敏感信息：身份证号、手机号、银行卡号这类结构化数据相对容易；源代码、合同条款、内部财务数据这类非结构化敏感信息更难，需要结合企业自定义的分类规则与语义识别。

处理动作不只有"拦截"。更实用的做法是脱敏后放行——把身份证号替换为占位符，再把模型的回答还原回来，业务照常进行，敏感数据不出去。

模块五：输出过滤

检查模型返回的内容：是否包含不当内容、是否泄漏了训练数据或系统提示词、是否包含恶意代码或链接。面向公众提供服务的 AI 应用，还需要满足《生成式人工智能服务管理暂行办法》对生成内容的要求。

模块六：审计与合规留痕

记录谁、在什么时间、通过什么应用、向哪个模型发送了什么类别的内容，以及策略执行结果。审计日志本身也是敏感数据，存在哪里、保留多久、谁能查看，需要在部署前想清楚。《网络数据安全管理条例》自 2025 年 1 月 1 日起施行，对数据处理活动的记录与管理提出了明确要求。

三、AI安全网关的三条技术路线

六个模块在不同厂商那里有不同的实现方式，大体分为三条路线。

三条技术路线：检测发生在哪里、内容在哪里可见

路线一：网络接入层部署

在企业网络出口或分支接入点部署，所有 AI 流量必经此处。优势是覆盖全面、不依赖终端安装客户端，并且可以私有化部署，审计数据和敏感内容不离开企业。适合对数据主权要求高、分支多的企业。

路线二：云化安全服务（SSE / SASE）

流量被引导到厂商的云端安全节点做检测。优势是部署快、规则更新及时，适合已采用 SASE 架构的企业。需要评估的是：内容检测在云端完成，敏感数据是否允许经过第三方节点。

路线三：应用侧护栏

以 SDK 或 API 形式嵌入企业 AI 应用，在调用模型前后做检测。优势是与业务结合紧、语义理解深；局限是只管得了接入它的应用，管不了员工自行访问的外部 AI。

四、AI安全网关13 家国内外厂商图谱

网络接入层 / 本地部署型

1. 犀思云 私有 AI 网关 PAG

一句话介绍：犀思云（2012 年成立的企业网络 NaaS 服务商）面向数据不出域场景推出的网络层私有 AI 网关，以能力形态装载在企业现场的融合网关（uCPE）或虚拟网关上。

主要能力：

• 统一接入多家大模型，按人、部门、应用做 RBAC 权限控制与多租户隔离

• Prompt 脱敏与违规拦截在企业本地闭环，只有脱敏后的必要请求受控出域

• 调用审计与 Token 计量，日志、密钥留存在企业边界内

• 集成 Fortinet 安全能力，提供 AI 应用识别、SSL 解密与内容级 DLP 的“AI 访问安全”方案

优势：检测点位于网络接入层，总部、分支、海外子公司的 AI 流量都能就近纳管，不依赖终端安装客户端；私有化形态下控制与数据均驻留本地，犀思云作为服务商不读取、不留存业务内容；访问海外模型时可经自有 SDN/SRv6 全球骨干承载（厂商口径）。

**适合谁：**汽车、AI、政企、跨国制造等对数据主权要求严格、分支多或有跨境 AI 调用的企业。

2. Fortinet FortiAIGate

一句话介绍：Fortinet 推出的 AI 运行时安全网关，部署在应用与大模型之间，是其 Secure AI Data Center 方案的组成部分。

主要能力：

• 实时检测 Prompt 注入、数据外泄、资源过度消耗与模型窃取等风险，并对照 OWASP 大模型风险清单呈现

• 提供 API 网关、限流与 DDoS 缓解能力

• 以 Kubernetes 容器化微服务方式部署，可借助 GPU、SmartNIC 加速检测

• 与 Fortinet Security Fabric、FortiSIEM 联动

优势：与 FortiGate 防火墙体系同源，AI 防护策略与日志可直接纳入现有安全运营流程；支持私有与混合 AI 环境，本地与云上模型均可覆盖。

适合谁：已大量使用 Fortinet 产品、正把私有大模型从试点推向生产的企业。

3. F5 AI Gateway 与 AI Guardrails

一句话介绍：应用交付与安全厂商 F5 的 AI 流量管理与防护组合，AI Guardrails 能力来自 F5 在 2025 年对 CalypsoAI 的收购。

主要能力：

• 可自托管的 AI 网关，对模型调用做路由、流量控制与可观测

• 对 Prompt 与模型响应执行策略检查，防范注入与敏感数据泄露

• 提供上线前的红队式风险评估

• 与 F5 负载均衡、Web 应用防护体系协同

优势：在数据中心流量管理与应用交付上积累深，适合把 AI 防护放在既有应用交付链路上统一治理，不必另起一套架构。

适合谁：已使用 F5 产品、在自有数据中心或私有云部署 AI 应用的大中型企业。

云化安全服务型

4. Palo Alto Networks Prisma AIRS

一句话介绍：Palo Alto Networks 的 AI 运行时安全平台，2026 年 5 月完成收购 Portkey 后，以其作为平台的 AI 网关。

主要能力：

• 模型扫描、AI 安全态势管理与红队测试

• 运行时检测模型调用、Agent 与 MCP 流量中的威胁和数据泄露

• 借助 Portkey 网关统一管理模型、Agent 与 MCP 服务器，提供路由、缓存、配额与审计

• 对 Agent 交互施加最小权限的 AI 身份控制

优势：把网关与安全平台合为一体，覆盖从开发、测试到运行的完整周期，并能与其防火墙、SASE 产品线协同。

适合谁：已采用 Palo Alto 安全体系、正在大规模推进 Agent 应用的大型企业。

5. Zscaler AI 安全

一句话介绍：零信任安全厂商 Zscaler 在 Zero Trust Exchange 平台上提供的生成式 AI 访问管控与数据防护能力。

主要能力：

• 发现员工使用的 AI 应用并评估风险，按用户与应用分级管控

• 对 Prompt 做内联 DLP 检测，阻止敏感数据上传

• 借助浏览器隔离限制复制粘贴、文件上传等高风险操作

• AI Guard 为 AI 应用提供内容护栏

优势：复用既有零信任与 SSE 架构，员工侧 AI 使用管控部署快、覆盖面广。

适合谁：已使用 Zscaler 零信任产品、以管控员工访问外部 AI 为主要诉求的企业。

6. Cloudflare Firewall for AI

一句话介绍：运行在 Cloudflare 全球边缘网络上的 AI 应用防护能力，面向企业对外提供服务的 AI 应用。

主要能力：

• 在边缘侧检测 Prompt 注入与滥用请求

• 识别请求中的敏感信息，防止泄露

• 与 Cloudflare WAF、限流、Bot 管理协同

• 与 AI Gateway、MCP 服务器门户在同一平台管理

优势：无需自建基础设施，对外 AI 服务直接借助边缘网络获得防护与抗攻击能力，上线快。

适合谁：面向公众或客户提供 AI 对话、Agent 服务的互联网企业与 SaaS 厂商。

7. Cisco AI Defense

一句话介绍：Cisco 基于收购的 Robust Intelligence 构建的 AI 安全产品，覆盖 AI 资产发现、模型验证与运行时防护。

主要能力：

• 发现企业内部使用和部署的 AI 应用与模型

• 对模型做自动化漏洞验证（红队测试）

• 运行时护栏，检测 Prompt 注入、数据泄露与有害输出

• 与 Cisco 安全云及网络产品集成

优势：从网络与安全两侧同时切入，适合在 Cisco 网络体系内统一 AI 安全策略。

适合谁：已大量使用 Cisco 网络与安全产品的大型企业。

8. Check Point（Lakera）

一句话介绍：Check Point 于 2025 年宣布收购 AI 安全公司 Lakera，将其 Prompt 注入防护能力纳入安全平台。

主要能力：

• Lakera Guard 实时检测 Prompt 注入、越狱与数据泄露

• 面向 AI 应用与 Agent 的运行时防护 API

• 红队测试评估 AI 应用风险

• 与 Check Point 安全管理平台整合

优势：Lakera 在 Prompt 注入攻防上积累了大量样本，以 API 方式接入，改造量小。

适合谁：自研 AI 应用、需要快速叠加注入防护的企业，以及已使用 Check Point 的企业。

9. SentinelOne（Prompt Security）

一句话介绍：端点安全厂商 SentinelOne 在 2025 年收购 Prompt Security 后形成的生成式 AI 安全能力。

主要能力：

• 可视化员工使用的生成式 AI 工具与数据流向

• 检测并脱敏 Prompt 中的敏感信息

• 保护企业自研 AI 应用，防范注入与越狱

• 覆盖代码助手等开发场景

优势：可与端点安全产品联动，从终端侧管住 AI 使用。

适合谁：以终端管控为主、已使用 SentinelOne 的企业。

10. CrowdStrike Falcon AIDR

一句话介绍：CrowdStrike 基于 2025 年收购的 Pangea 构建的 AI 检测与响应（AIDR）能力。

主要能力：

• 对员工与 Agent 的 AI 交互提供 Prompt 级可见性

• 检测注入、敏感数据外泄与策略违规

• 与 Falcon 平台的威胁检测与响应流程打通

优势：把 AI 风险纳入既有检测与响应流程，安全运营团队可以在同一平台统一处置。

适合谁：已使用 CrowdStrike Falcon、希望把 AI 风险并入 SOC 运营的企业。

国内大模型安全型

11. 奇安信 大模型卫士

一句话介绍：奇安信面向大模型与 AI Agent 的安全防护产品，覆盖访问管控、内容审计与攻击防御。

主要能力：

• 对大模型和 AI Agent 统一授权，精细化管理权限

• 输入输出双向内容审计，识别敏感信息、恶意指令与违规内容

• 防御提示注入、对抗样本等新型攻击

• 全链路日志与风险溯源

优势：支持纯软件与软硬一体多种形态，无需改造模型和业务代码即可接入；已在政企、金融、能源等行业落地（厂商口径）。

适合谁：对国内合规与本地化服务要求高的政企、金融、能源类机构。

12. 深信服 大模型安全护栏

一句话介绍：深信服以“攻击进不来、有害内容出不去”为目标的大模型应用实时防护产品。

主要能力：

• 快速分类模型与深度研判模型协同，兼顾低时延与隐蔽威胁识别

• 多模态检测，可识别图片中的隐写指令

• 支持同步、异步与流式检测，内置 bypass 机制保障业务可用性

• 提供 API、SDK、探针、反向代理等对接方式，支持私有化部署

优势：据厂商披露，在网信办 2025 年人工智能技术赋能网络安全应用测试的相关场景中排名第一；可与其零信任、风险治理产品组合使用。

适合谁：自建大模型应用（客服、RAG、智能体等）、需要私有化部署的企业。

13. 天融信 大模型安全网关

一句话介绍：天融信面向自建大模型与互联网出口的 AI 安全网关（TopLMG），主打透明代理、业务零改造接入。

主要能力：

• 文本、文档、图片、音视频多模态内容合规检测

• 编码对抗检测与流式输出拼接检测

• API 资产自学习、访问控制与 Token 限流

• 提示词注入检测与五层纵深防御

优势：透明代理部署不改动既有系统，适配信创环境；据厂商披露获得公安部第三研究所大模型安全防护围栏产品认证（增强级）。

适合谁：工业、信创等业务连续性要求高、有国产化与私有化需求的场景。

五、AI安全网关选型的 6 个问题

1. SSL 解密在哪里做，证书怎么管？不解密就看不到内容；解密点的位置决定了敏感数据会经过哪里。

2. 检测在哪里完成？本地、厂商云端还是第三方模型服务？如果用大模型做检测，检测本身是否会把数据发出去？

3. 误报率和延迟是多少？要求用企业自己的样本做测试。流式输出场景下，输出过滤会不会让首字返回明显变慢？

4. 能否脱敏放行，而不只是拦截？一刀切的拦截最终会被业务部门绕过。

5. 覆盖哪几条路径？人用 AI、应用调用 AI、Agent 执行，分别靠什么能力覆盖？

6. 审计日志存在哪里？是否满足企业所在行业的留存与访问要求。

写在最后

AI 安全的难点不在技术，而在平衡：管得太松，数据在不知不觉中流出去；管得太紧，员工会用私人手机绕过所有防线。好的 AI 安全网关应该让"合规地用 AI"比"偷偷地用 AI"更方便。这也是选型时最值得验证的一点。

附：数据来源与参考资料

• OWASP Top 10 for LLM Applications 2025；OWASP Top 10 for Agentic Applications 2026（来源：OWASP GenAI Security Project）
• Check Point 收购 Lakera、F5 收购 CalypsoAI、CrowdStrike 收购 Pangea（来源：各公司公告；Pillar Security 2026 行业梳理）
• Fortinet FortiAIGate（来源：Fortinet 官网与文档）
• 奇安信大模型卫士、深信服大模型安全护栏、天融信大模型安全网关（来源：各厂商官网）
• 《网络数据安全管理条例》2025-01-01 施行（来源：中国政府网）

说明：厂商信息为公开资料整理；标注"厂商口径"的数字以书面承诺为准，性能数字均为参考值，以实测为准。