一家五百强企业的财务员工用自然语言让AI写了个处理客户流失率的小应用，上线不到两小时，包含敏感客户数据的后台就直接裸奔在公网。这种被称为氛围编码（vibe-coding）的狂欢，正在把企业内网撕开一道道无法被传统杀毒软件察觉的裂口。
主打终端自主Agent安全防护的初创公司 Pluto Security 在2026年10月13日宣布走出隐形模式，披露已完成4200万美元融资。自2026年4月开售以来，这家成立不久的公司年度经常性收入（ARR）已突破200万美元，服务了包括 Oscar Health、Workato、Sixt 和 AlphaSense 在内的超30家企业客户。尽管其宣布的总额与拆分数据（TLV Partners领投的850万美元种子轮，加上Jump Capital领投、Skinos与Ansa Capital跟投的3400万美元A轮）存在50万美元口径差异，但资本迅速下注的背后，是整个企业安全界正在遭遇的一场防御体系失效危机。
财务部门成第一大漏洞源，氛围编码撕碎内网防线
公众通常认为企业AI安全的最大风险，要么是工程师用 Cursor 写出带后门的代码，要么是基层员工往公共大模型里粘贴机密财务报表。然而 Pluto 创始人 Shahar Bahat 抛出的统计打破了这种常识：在 Pluto 检测到的企业客户安全风险中，约60%来自不懂编程的非技术人员构建的工具。
在这些影子应用中，风险最高的主体并非研发部门，而是按严谨著称的财务部门，其次是市场与法务团队，专业开发者仅排在第四位。非技术员工使用 Lovable、Cursor 或 Claude Code 等工具，只要用自然语言下指令，几分钟就能拼装出一个业务小看板或自动化审批流。这些工具极大解放了生产力，却将最基础的工程安全常识抛在脑后。
这并非 Pluto 一家之言。云安全机构 Wiz Research 曾发布专门调查，证实了氛围编码引发的系统性隐患：业务人员手搓的系统普遍存在未设身份验证、仅靠前端隐藏接口、公网端口完全裸露以及数据库权限配置错误等硬伤。代码安全厂商 Veracode 在针对一百多款大模型的代码安全测试中同样发现，AI 生成的代码样本有45%未能通过安全测试。
更讽刺的心理学机制早已显现。斯坦福大学研究团队在针对辅助编程实验中发现，借助AI写代码的员工，写出的程序往往漏洞百出，但他们对自己代码安全性的盲目自信程度却显著上升。当业务部门捧着漏洞百出的半成品自认为完成了数字化提效，企业的防线实际上已经被打成筛子。
传统EDR失灵：从防人泄密到防Agent自主越权
让企业安全团队头疼的不仅仅是业务人员自建的脆弱网页，更是交互形态本身的剧烈变迁。传统的企业安全架构，如终端检测响应（EDR）、数据防泄漏（DLP）以及云访问安全代理（CASB），本质上建立在监控人类行为的基础之上。它们擅长识别员工是否把受控文件复制到了外网网盘，或者是否在终端执行了异常的系统调用。
但随着模型上下文协议（MCP）等生态的铺开，AI 的落地形态早已越过被动问答框，变成了可以在本地操作系统自主调用命令行、读取目录、触发外部网络请求的自主 Agent。
在这种自主链条下，攻击者不再需要费心诱导员工点击钓鱼邮件附件。他们可以通过投毒的 MCP 扩展技能包，或者一个带有恶意系统提示词的外部网页，间接指使正在本地运行的 Agent 越权搜寻本地凭证并回传。对于传统的防御软件而言，Agent 执行的所有操作看起来都是受信任的开发环境发出的正常系统调用，根本无法区分这究竟是员工的真实意愿，还是 Agent 被外部上下文劫持后的动作。
目前 Pluto 宣称其防护网已覆盖超150万个企业终端节点。它的解法是通过在终端部署轻量级模型，实时监听 Agent 收到的提示词、命令和系统权限调用，并在其即将执行高危动作时，选择反向向会话中注入新指令，强制 Agent 停下向人类操作员请求确认。
- 风险.动态向会话注入指令以改变 Agent 行为的设计，在面对长链路复杂任务时，极易诱发模型幻觉或导致推理逻辑死锁，其可靠性仍远未达到传统硬阻断（hard block）的工程确定性。
赛道割据与CISO的预算抉择
伴随企业内网治理重心的转移，资本正在涌入这片真空地带，但防御路径已经出现明显分化。
| 安全方案参与者 | 防御阵地与核心路径 | 典型代表 / 组织归属 | 核心短板与未知数 |
|---|---|---|---|
| 端侧扩展与MCP治理 | 锚定终端模型插件、MCP服务器供应链，实时注入指令 | Pluto Security | 拦截逻辑可能诱发模型死锁，防守面过窄 |
| 云端与运行时重构 | 聚焦云端/SaaS级Agent交互，做执行路径沙箱重构 | Zenity | 难以覆盖本地终端手搓运行的临时工具 |
| 交互层与防泄漏过滤 | 重构浏览器和桌面端环境，隔离不安全输入输出 | Akamai Workforce Protector（原LayerX） | 停留在外围防护，未深度解构Agent内部推理逻辑 |
行业格局变动的信号已经十分明确。此前主打浏览器AI防泄漏的初创公司 LayerX，其官网已在近期悄然重定向至 Akamai Workforce Protector，印证其已被网络基础设施巨头 Akamai 收购并整合入企业防护体系。老牌安全厂商正在通过兼并收购构筑针对端侧 AI 工具的数据防线。
与此同时，Zenity 等团队则选择从云端 SaaS 层面切入，主打对整个 Agent 执行路径的重构与沙箱化，这与 Pluto 偏重终端 MCP 扩展组件防御的思路形成鲜明互补。
对于企业的首席信息安全官（CISO）而言，眼下的抉择十分尴尬。如果沿用旧的管控思路一律封禁，业务部门借助平民编码工具带来的效率红利就会瞬间归零；但如果放任自流，哪怕是财务部门为了导数据而顺手让 AI 写的几十行脚本，都可能让整个内网中门大开。在统一的 MCP 原生安全标准出台前，企业安全团队必须在放任业务狂欢与拦截未知失控之间，艰难地重新划定边界。