#NHI

AI Agent 时代的身份安全控制平面

AI Agent 普及后，身份安全升级为统一控制人类、workload、service account、API key、OAuth app、证书、token、CI/CD、机器人和 Agent 的"身份控制平面"。Non-Human Identity（NHI）成为新预算入口——MCP 规范已强制 resource 参数、token audience validation，并禁止 token passthrough。最先落地的预算池是 PAM / machine identity / secrets / IGA-CIEM 扩展，因为这些 already exist 且合规驱动强。直接受益者：SailPoint（FY26 ARR $11.25 亿、SaaS ARR +38%）、CyberArk、Okta（FY26Q4 RPO +15%）、Microsoft Entra、IBM/HashiCorp Vault、JFrog（Security Core 已占 ARR 10%）；CrowdStrike 收 SGNL、Cisco 拟收 Astrix 印证 NHI 控制面是下一代入口。云厂商内建 IAM 会持续商品化基础 secrets/CIEM，跨云跨 SaaS 的 ownership/least-privilege/runtime enforcement 才是利润池。

AI 数据安全、DSPM、RAG 权限治理与企业知识库安全

数据安全从"合规配角"变成 AI 落地的主控制面——Copilot/Azure AI Search/Unity Catalog/Snowflake Horizon/Bedrock Guardrails 都把 ACL、标签、分类、检索授权前置到调用链。RAG 与 Agent 不会重建权限体系，只会放大原有 SharePoint/邮件/CRM/数据库的过度共享。DSPM/DLP/DDR/访问治理/RAG 权限串成一条链。机器身份对人类身份已达 82:1（CyberArk），CrowdStrike $7.4 亿收 SGNL 把 NHI/AI identity 拉进连续控制。直接受益且有财务证据：Varonis、CyberArk、Snowflake、MongoDB、Elastic、Trend Micro、Cloudflare、CrowdStrike、Palo Alto、Microsoft、Google Cloud；AI 原生挑战者：Cyera（估值 $90 亿）、BigID、Sentra、Concentric、Securiti、Privacera、Veza、Noma、Lasso。利润池长期留在控制平面（权限图谱+标签引擎+策略引擎+检索授权+AI gateway），扫描本身利润率有限。