a16z在2026年10月28日发布《The New Security Agenda》，调研了100位千人以上规模企业的首席信息安全官。87%预计2027年网络安全支出增加，近半数预计安全团队扩员，只有4%预计缩减。钱和人都往上走，但这份调研真正值得看的，是预算涨幅与实际落地之间的落差。
议程换血：2027年前七项全与AI有关
受访者回忆的2026年优先事项里，排在前面的是暴露与漏洞管理、SIEM；到了2027年，得票最高的七项全部涉及AI。内部AI智能体安全、SOC自动化、进攻性安全的涨幅最大，代码安全、修复、AI治理紧随其后。近半数受访者把AI代码安全列入2027年前五优先事项，2026年这一比例约为25%。
试点多，投产少
只有18%的企业已把AI SOC工具投入生产，13%已投产AI进攻性安全或AI暴露与漏洞修复。采购计划走得更快：45%计划在12个月内新购或升级内部AI智能体安全，42%是进攻性安全，38%是AI使用与治理。83%的受访者认为更频繁的安全姿态测试重要，但今天只有18%说多数进攻性测试持续跑在生产资产上，52%预计一年内做到。找得快不等于修得快：70%希望复测验证漏洞确实修好，67%希望按可验证的可利用性排修复优先级，57%希望自动生成修复方案或工单。
先找老供应商，缺口才找新公司
44%的受访者先看现有安全平台的新能力，只有21%先找AI原生厂商；47%说，只有现有供应商解决不了的能力缺口，才会选初创公司。另一面是暴露面本身：92%的企业已在生产中使用员工生成式AI工具，83%在用编码助手或智能体，55%已有MCP服务器或智能体集成投产。47%最担心员工把敏感数据贴进AI工具，46%担心智能体越权或被攻破，63%说安全审查已拖慢至少部分AI落地。
读这份调研要留一个心眼：a16z是投资机构，文中点名的多家公司是其投资组合成员，数字来自100位受访者的自述和对2026年的回忆，不是全行业普查。它的价值在于方向：安全预算的争夺焦点，已经从买不买AI安全工具，变成谁能证明修好了。对买方来说，下一年的选型题不是功能清单，而是供应商能不能在自家环境里跑通发现、修复、复测这一圈。
