AI安全为什么卖不动

周一下午三点，一个在城商行做安全的负责人，把一份 AI 安全方案摆到了立项会上。

方案不便宜，写得也不差，POC 也过了。分管副行长翻到最后一页，只问了三个问题：

立 项 会 上 的 三 连 问
测什么？
谁验收？
装哪儿？

他一个都答不上来。会议纪要上写的是「继续论证」，这份方案从那天起就躺在共享盘的「待办」文件夹里，再没被打开过。

如果你也遇到过这种三连问，这篇就是写给你的。

在受监管行业里，一个东西卖不动，通常不是因为它没用，而是因为它没法被立项。

三问其实是一问：这套东西，能不能进一张纸。

一张测评报告，一张采购目录，一张验收单。AI 安全现在缺的，就是这三张纸。

01缺 口 · 测 评 项

要求表里没有「AI」这一项，测评员连「不合格」都判不出来。

等保测评怎么出结论？测评机构拿着标准一条一条对：符合、部分符合、不符合。报告最后进备案，甲方拿它过年检、过上级检查。

这套流程有一个前提：得有一条能对得上的要求项。

等保 2.0 的技术要求，从安全物理环境、安全通信网络、安全区域边界、安全计算环境，一路管到安全管理中心，里面没有「AI」这一项。测评机构翻遍全表，找不到一条能用来判「你的 AI 应用不合格」的条款。

于是它只能写：不在测评范围内。

一条要求项要能用，得先说清三件事。

等保里每一条都长这样——「应如何」「保留审计记录」「留存多长时间」——所以测评员知道该查什么、该看哪份证据、该判符合还是不符合。AI 安全目前连第一件都没落定：你要审的是那个模型、那个应用，还是它最后发出的那条 SQL？对象一换，判据全变。

条款不落到这个粒度，就只是一句正确的原则。

这一点在别的领域被解决过，而且解决得很干脆。

已 生 效 的 先 例
2026.01.09
发 布　→　实 施　2026.06.01
GA/T 2380-2026《数据安全分类分级保护基本要求》
发布到实施三个月，现在已经是现行标准。它把「数据安全」从一句原则拆成四项可判定的能力：数据溯源、数据识别、数据标记、数据脱敏。三级系统强制落地这四项；配套 GA/T 2381-2026（测评机构能力）、GA/T 2394-2026（测评要求）、GA/T 2395-2026（测评过程）。

在此之前，数据安全在甲方那里也是「重要但没法验收」；现在它有判定指标了。

今天是 2026 年 10 月 31 日，这部标准已经实施快五个月。它证明了一件事。

结 论
一个东西能不能被验收，取决于有没有一条能对着打勾的条款——而不是它有多重要。

边 界　这条只对受监管行业成立。互联网业务里，AI 安全能进研发预算，不需要那三张纸。

02缺 口 · 目 录

甲方买不买，很少取决于他觉得好不好，取决于预算表上有没有这一行。

数据安全产品有分类、有目录、有参考价，采购走的是成熟流程；「AI 安全」四个字，写不进任何一个品目。

一个做投标的朋友说过一句实话：

「写技术参数最难的不是写指标，是先给这个东西找个品目。」
一 个 做 投 标 的 朋 友

找不到，就只能塞进「其他安全服务」——而「其他」在评审里的权重，通常是最低那一档。

旁 注　顺带说一句，需求侧其实早就有硬条款了：790 号令第 27 条要求定期开展合规审计，第 12 条要求处理情况记录至少保存 3 年；个人信息保护法第 56 条对影响评估报告与处理情况记录的要求也是三年；网络安全法第 21 条第三项要求网络日志留存不少于六个月。

结 论
条款不缺，缺的是能把条款变成证据的那个东西。

边 界　这条在自建平台、不走招标的甲方身上会松动——他们买工具不需要目录，签字的人就是老板。

03缺 口 · 形 态

它进不了机房——不是技术上进不去，是没有「上架」这个动作。

第三个缺口最不像缺口：没有形态。去机房看一眼就明白了——数据库审计、数据库防火墙，都是机架上的一台盒子：有电源、有网口、有旁路或串接的接法、有 IP、有上架单。

一台盒子意味着一串动作。

一 台 盒 子 带 来 的 一 串 动 作
开箱　上架　配置　试运行　验收　签字　维保　备件　报价　续保

每个动作都对应一个责任人，出了问题有人接电话。

AI 安全呢？多数是一个控制台加一段代码：SaaS 面板、SDK、网关插件、一堆评估报告。

没有上架，就没有验收单上的那一行；没有那一行，就没有维保合同；没有维保合同，就没有渠道愿意卖。

渠道这一环最容易被忽略。集成商投一个标，要的是能报价、能备货、能承诺响应、能算进集成清单的东西。一份按年订阅的评估服务，在报价单上只能写成一行技术服务费——它进不了设备清单，也就进不了那张要盖章的验收单。甲方认的往往不是你测得多准，是这几行字能不能写进合同。

结 论
盒子的价值不在硬件，在于它给了一个可以被签字的交付物。

边 界　这条对纯 SaaS 交付的安全服务不成立——它们在中小客户里照样卖得动，只是进不了大甲方的机房。

转 折
三个缺口摆在一起，结论其实很轻。
AI 安全缺的不是价值，
是那三张纸。

价值这件事，做安全的人都认——模型会被人牵着走、Agent 会自己动手、工具链会被人塞东西。这些都不是假设。

但价值不进测评报告，不进采购目录，不上机架。它得先被翻译成三样东西，才能变成预算。

而数据库审计，三张纸全有：

再加上《数据安全技术 数据安全风险评估方法》第 17 条那句「每年至少一次检测和风险评估」——需求和判定，两头都齐了。

04所 以 这 一 栏 写 门

门没变，变的是门外排队的东西。

门本身没变：还是那个数据库，还是那条 SQL，还是那套权限。变的是门外排队的东西——Agent、text2SQL、MCP 工具。它们比人快、比人多，而且它们的动作在日志里往往每一行都正常。

一个 Agent 半夜跑了一条 SQL，权限对、账号对、返回码 200。这时你要回答的不是「它有没有越权」，而是「它到底动了哪几行」。

数据在库里，谁在动它，
你证明得出来吗。

这句话就是这一栏的全部。

05上 会 之 前 · 自 查

这三个问题，你自己先答一遍，比在会上被问强。

收藏这篇，下次上会之前先对一遍——上会之后再对，方案已经在文件夹里了。

写 在 最 后

后面 15 篇，只谈三样东西：机制、罚单、整改。

机制是它到底怎么动的你的库；罚单是谁因为证明不出来被罚了；整改是把哪一条补上、补成什么样。不盘点大势，不做年度综述——那种稿子今年已经够多了。

如果你身边正有人给 AI 安全方案做立项，把这篇转给他。他缺的大概不是一页 PPT，是那三张纸。

觉得「不是没用，是没法立项」这句有道理，点个赞。

顺手点个在看，让更多在甲方做安全的人看到——这个坎，大家都撞过。

你上一份被卡住的方案，卡在哪一问：测什么、谁验收，还是装哪儿？评论区聊聊。

关注我，这个专栏只写一件事：数据库这扇门，谁在动它，你证明得出来吗。

来 源

01GA/T 2380-2026　《数据安全分类分级保护基本要求》：发布 2026-01-09、实施 2026-06-01、状态现行（公安标准化信息服务平台）；四项能力为数据溯源 / 数据识别 / 数据标记 / 数据脱敏，三级系统强制四项；配套 GA/T 2381-2026（测评机构能力）、GA/T 2394-2026（测评要求）、GA/T 2395-2026（测评过程）

02网络安全法　第 21 条第三项：网络日志留存不少于六个月

03790 号令　《网络数据安全管理条例》：2024-09-24 公布、2025-01-01 施行；第 12 条处理情况记录至少保存 3 年；第 27 条要求定期开展合规审计

04个人信息保护法　第 56 条：影响评估报告与处理情况记录至少保存三年

05等保 2.0　三级 7.1.4.3 安全审计 a) b) c)、7.1.5.2 审计管理、7.1.5.4 集中管控（审计数据集中收集汇总分析）；四级对应 8.1.4.3

06风险评估方法　《数据安全技术 数据安全风险评估方法》第 17 条：每年至少一次检测和风险评估

文中「城商行安全负责人立项」场景为行业普遍情形的概括，非特定客户；不涉及任何真实单位内部系统与内部材料。