一、 数字安全产业步入深水区

2021年度，数字安全产业由高速增长阶段进入持续调整阶段。年复合增长率连续三年下滑累计达30个百分点，之后进入负增长阶段，市场规模随连续三年缩水。以历史最高点981.2亿元（2020年）计算，到2025年累计缩水近100亿元（2025年为887.43亿元）。

外部大环境来看，全球经济疲软、政治与贸易冲突，以及人工智能带来的不确定性，均是国内数字安全产业发展困境的重要原因。内部自身来看，形式合规占据了整个市场的绝大部分需求，内卷式不良竞争挤压着彼此的经营空间，资源和资质的垄断则盘剥着民营企业的利润。合规既是产业的基础，却又成为发展的阻碍。

如何正确衡量安全的价值，形式合规如何转向实效合规，人工智能是机遇还是危机，安全产业健康发展的转型破局之路在何方？有无数个问题摆在每个安全人面前，需要求解、思考，验证和实践。至此，数字安全产业发展正式步入深水区。

二、 产业碎片化格局愈加凸显

数世咨询在2020年的统计报告中指出，网络安全市场的格局为“只有诸侯，没有寡头”。到如今不仅没有形成寡头，碎片化格局却愈加凸显。

本报告统计显示，2025年有4家企业营收在30亿元以上，占比18.9%。11家企业收入在10亿至30亿元之间，占比25.3%。20家企业在5至10亿元之间，占比14.5%；137家企业在1至5亿元之间，占比30.5%。

数字安全行业如此碎片化的本质原因有四：一是伴生属性。先有云计算、大数据、人工智能，才有云安全、大数据安全和人工智能安全。同样，离开数字化，数字安全就无从谈起；二是服务属性。客户需要的是行业化、场景化、能力化，甚至是提供情绪价值的服务，而标准化的机器和“冰冷”的设备无法做到；三是信任属性。安全的核心手段围绕着信任展开，而信任是根据环境、对象和时间而变化的，因此需要不断地验证；四是对抗属性。没有最锋利的矛，也没有刺不穿的盾。“道高一尺，魔高一丈”是永恒的话题。这四大本质属性，前两者是被动的，后两者是动态的，四者交叉叠加，决定了数字安全行业的碎片化现状，并将永远碎片化下去。

三、 政治、经济、数字化驱动安全

一般认为，发生安全事件和满足合规，是安全最大的两个驱动力。但这两种驱动力只停留在表面，因为实际上事件是可以发生的，只要事情瞒得住或责任甩得出。合规是可以不遵从的，只要无标准或做不到。数世咨询通过大量的访谈和调研，总结出安全需求的三大底层驱动力：政治、经济和数字化。

政治优先的党政军及央国企是安全的第一大需求方。数世咨询每年的行业统计，党政军、事业单位及央国企在安全上的采购要占到整个数字安全市场规模的80%以上。从区域统计来看，央企总部集中的北京，仅这一座城市辖管的安全公司，总营收占到全国近一半的市场规模。

良好的经济发展是安全的第二大驱动力。无论哪个行业、领域，国企还是民企，雄厚的经营资金是足够安全预算的首要保证。不管是实际的用户访谈，还是乙方的调研反馈，有钱的用户在安全上的投入远超于同行，这已经是行业共识。一个相反的例子，前几年高增长的银行这两年步入低增速时代。在安全上的投入，已经连续四年下降。本报告对城市的统计同样显示，经济发达的城市，安全企业的集中度就会高。

第三大底层驱动力是数字化依赖程度。区域或机构的数字化依赖程度越高，安全

投入就越大。互联网就是企业数字化的代表，杭州、深圳就是城市数字化的代表。这些代表对数字安全的投入，远超其他同行和区域。

四、 全行业减员并非AI之过

数世咨询统计，国内数字安全企业的从业人员在2022年达到历史最高点14.7万人，2025年11.72万人，三年累计减少了三万人，全行业20%的减员比例。与此同时，每家企业都在大谈AI赋能带来的效率提升，宣布All in AI，甚至要用AI重构一切。再加上全球各领域都在讨论AI代替人的可能，于是至少安全领域的从业者，普遍认为AI浪潮将导致大规模减员，并且已经在现实中频频发生。但实际上这是一种错觉。

全行业20%的减员是事实，但不是AI导致的。只要具体深入到每一家发生大规模裁员的企业，就会发现裁员的真正原因是经营压力，以三种最为典型的安全厂商为例：

第一种是规模较大的公司，只要发生大数量裁员，无一例外亏损严重。第二种是以融资续命或估值过高且造血能力差的公司，当资金无以为继的时候，一定会大规模裁员。第三种属于长期经营不善、积重难返的公司，濒临退市或倒闭，裁员已是必然。

有没有AI大幅度提升工作效率且经营良好，因此开始减员的公司？答案是，一家也没有。反而，这样的公司在不断的扩大员工规模。数字安全行业从业者的大范围减员，与其说是AI导致的，不如说AI是一个不错的借口。真正的根源在于经营压力和对未来的悲观预期。

AI带来工作效率的提升毋庸置疑，但AI通过提升全社会生产力导致大规模社会减员，至少在现阶段还没有到来。

五、 AI浪潮下的焦虑与迷惘

身处人工智能巨浪中的安全产业，从监管到资本，从用户到厂商，从管理者到普通员工，焦虑与迷惘情绪无处不在。

监管机构一方面要鼓励产业迎接技术革命，另一方面又担心出现安全事故。投资机构一方面还在对过去几年的产业泡沫心有余悸，另一方面又在担心错失大好的投资机会。

绝大部分用户采购“无AI不立项”，令本来就捉襟见肘的安全预算被大幅挤压。而厂商即使将AI融入原有产品进行升级，但这部分成本大多只能自己负担。用户渴望通过AI实现降本增效，获取竞争优势。但与此同时，AI带来的安全事件频出。厂商还未来得及做好AI安全产品和服务，监管已发文严控大模型和智能体在政企的使用。

不只是客户，大型安全公司本身也陷入了模型训练的“军备竞赛”，花费昂贵投入购买算力和数据治理，但并未换来预期效果。许多项目难以落地，许多公司陷入了投入与产出严重失衡的困境。虽然AI在研发和办公方面显著提升了效率，但企业的商业收入却未随之增长。效率的提升未能有效转化为商业价值，形成了“增产不增利”的尴尬局面。

旧有的商业逻辑正在瓦解，而新的生态尚未完全成型。但也许正是这种极致的拉扯与试错，倒逼安全产业开始去泡沫化，回归“解决实际问题”的原点。

六、 安全垂域模型的两大挑战

业界呼吁安全垂域模型的声音已经很久，这两三年来安全大厂也先后推出了各自的安全大模型，虽然取得了一些不错的测评成绩，但在真实场景下的效果很难令用户满意。根源来自安全垂域模型的两大难题，一是缺乏用于微调的高质量安全数据，二是即使有了数据，也很难跟上基模的更新。

数据方面，虽然某些大厂手里有着海量的安全数据，但其并不等同于“高质量的微调语料”。模型需要的是“当看到A日志和B流量组合时，说明攻击者正在进行C操作，因为D原理，所以我们应该采取E措施”的专家级推理文本。而将海量的流量、日志、样本转化为能让大模型理解的“专家经验语料”，需要成本极高的数据治理、人工专家标注和知识图谱构建。

基模方面，在人工智能技术与商业竞争激烈的当下，垂域模型所使用的基模更新升级频率极高。一旦基模迭代升级，一定与现有的软硬件系统冲突，需要对底层架构、算子或参数结构进行调整。而且，垂域模型都会有一整套的工程机制，如输出格式与校验、缓存策略等，基模更换意味着这些机制需要重新校准。模型迁移绝非简单的“接口替换”，而是一场涉及数据、算法与工程全链路的系统性重构。

唯有跨越高质量语料转化与基模系统性重构这两座大山，安全垂域模型才能走出测评的温室，在真实的业务场景中实现其应有的价值。

七、 数据安全成第二生长曲线

自2021年开始，整个安全产业在历经多年高速增长后进入调整阶段，2023至2025已经连续三年出现负增长。而数据安全领域，在整个安全产业规模不断下降的同时，呈现逆势且加速增长的趋势。2023年的增长率仅为3%，但随即就是2024年的6.87%，2025年的11.11%。在整体数字安全产业受宏观预算收缩和传统产品同质化影响出现负增长的背景下，数据安全的逆势高增长具有深远的产业意义。

数据安全的连续增长其实并不意外，本质是因为网络安全的核心目的是数据安全，只不过由于我国数字化进程的阶段性特征，使得基础设施建设阶段的规模效应掩盖了这一本质属性。在基础设施红利消退、技术架构趋于稳定、数据要素红利分配开启后，这一本质才更清晰的显现。但值得注意的是，实现数据安全的基本手段是网络安全，两者只能从直接保护对象上做区分，在技术手段上是无法分开的。

在不破坏数据完整性的前提下，所有的数据安全技术和手段都是基于数据载体实现的，即网络安全。两者的结合即数字安全。——数世咨询

数据安全的增长将带领数字安全思路从外（边界）到内（流程）、从基础设施（网信系统）到数据（业务价值）进行转变，通过改变底层的技术逻辑和商业模式，有望重新定义产业的叙事逻辑。

八、利润第一重回商业本质 

从数字安全行业从业人员和产业规模的比值来看，人均产出年年超过65万元甚至70万元，50%以上的毛利率十分普遍。表面上看是一个非常“赚钱”的行业，但实际上这几年全行业处于亏损状态。

如果仔细研究一下各家公司的财报，就会发现，销售、研发、管理费用耗尽了企业所有的利润。以本报告统计的35家上市公司为例，80%的数字安全上市公司销研管费用超过50%，平均值则在60%以上。意味着大部分上市公司的成本大于毛利。即便是未上市的公司，这种成本大于利润的情况也普遍存在。因此，近年来整个全行业处于较为严重的亏损状态，也就不足为奇了。

积极的一面是，一些大厂已经开始减负，包括砍掉非核心业务或产线、拒绝亏本的安全服务、用利润而不是营收来考核销售。中小企业也纷纷将生存和赚钱放在第一位，而不是过去强调的规模和营收。只有当技术红利真正转化为企业利润，利润第一重回商业本质，数字安全产业健康发展的时代才会到来。

九、融资、上市、并购的痛点

自2021年近170亿元融资总额的历史最高点出现后，资本市场开始连续断崖式下跌。2022年100亿，2023年39亿元，2024年25亿，2025年6亿。民间资本几近停滞。

自数世咨询提出“科创无望，北交拥堵，港交在望”的观点之后，到现在已有至少五家安全企业先后在港交所提交申请。在科创板改制落地之前，国资收购逻辑基本不通的情况下，港交所可能是资本仅有的退出路径。

最近几年，有不少投资人和创业者认为，既然上市走不通，并购一定是未来趋势。但实际情况并非如此。近几年来，除了两大运营商并购启明星辰与国盾量子以外，剩下十几起并购事件均呈现出并购金额小（千万级、甚至百万级）、以安全服务为主（典型的如各地的等保测评机构），以及大部分业绩对赌无法完成的三种特征，真正能实现1+1>2的健康并购案例可以说没有。

其中一个重要原因在于，国有资本极度谨慎，在考虑投资或并购时往往提出不能亏损、PE估值、亿级规模和业绩对赌的四项基本原则。当下的经济环境，很难有企业满足所有这四项条件，而真正符合这些条件的企业则根本没有并购意愿。

最后，如果一份风险投资协议中充斥着刚性的回购、对赌，甚至于无限连带责任时，它已经不再是真正意义上的风险投资，徒有股权投资之名，但实际上成为了另一种放贷形式。针对此现象，2026年6月，国务院办公厅发布《关于加强监管防范风险 促进私募投资基金高质量发展的指导意见》，首次明确将出台规范私募基金“对赌协议”的制度安排，并划定了明确的红线，“严禁明股实债”、“严禁脱离实际的无限连带担保”、“倡导柔性化解”。该文表明了国家层面在推动厘清股权投资本质，平衡投融资双方权责，引导私募基金回归风险共担、回归服务创新本源的态度。

毫无疑问，靠PPT讲故事、靠对赌协议博取高估值、盲目追求上市敲钟的“捂眼狂奔”时代已经结束。也许，阵痛过后，一个摒弃了资本泡沫、尊重商业常识，以价值回归为导向的数安新时代，正在缓缓拉开序幕。

注：上述内容，节选自《中国数字安全产业年度报告(2026)》第一章