摩根大通估2029年AI安全市場規模達4300億美元

網路安全預算正被重新歸類，從IT項下的可自由裁量支出轉為固定的AI基礎設施成本。摩根大通估計，這一轉變將開啟一個三年期、規模逾4300億美元的增量市場，而第一波實質性獲利貢獻要到2026年第四季才會出現。

「安全已不再是宏觀環境轉弱時會被削減的成本中心——它是企業在生產環境中運行AI所必須支付的過路費。」摩根大通分析師Brian Essex在報告中表示。

該行的論點建立在攻擊經濟學已然倒轉之上。漏洞自公開披露到被武器化的平均窗口，從2018年的63天縮短至2023年的五天，並在2025年進一步降至負七天——意味著攻擊者如今在修補程式問世之前就已開發出可用的漏洞利用工具。約有29%的已知遭利用漏洞，是在披露當日或之前即被武器化。掃描整個作業系統以尋找漏洞的成本已降至50美元以下，而一套完整的遠端控制攻擊工具如今售價低於1000美元，對照傳統黑市的50萬至200萬美元。摩根大通援引Anthropic的模型為例，指其能自主定位零日漏洞並完成端到端的滲透測試；Anthropic的攻擊性安全負責人預期，競爭對手的模型將在數月內達到相當的能力水準。

攻擊成本下降，迫使防禦成本上升。偵測與回應必須持續且自動化運行，因為人工分流無法跟上五天——甚至是負數——的修補窗口。這正是將安全從按席位計價的軟體採購轉化為基礎設施產能的機制，也是摩根大通將此輪支出週期定調為結構性、而非主題性的原因。

Netskope的季度業績展現的是訂單儲備，而非營收

目前對這一論點最清晰的公開驗證，是Netskope（納斯達克代碼：NTSK）。該公司於2026年9月2日公布2027會計年度第二季財報。年度經常性收入達8.99億美元，年增27%；季度營收成長29%至2.205億美元，各項公布指標均優於財測。淨留存率提升至114%，且目前有59%的客戶使用四項以上Netskope One產品，高於一年前的51%——這正是摩根大通所描述的平台整併行為：買方縮減供應商家數，將身分、網路、端點與資料安全整合到單一合約中。

但審慎的訊號也藏在同一份財報裡。淨新增ARR僅年增9%至5400萬美元，管理層將此減速歸因於下半年季節性因素，以及客戶轉向年度計費，導致現金收取遞延。自由現金流年減51%至負2980萬美元，自由現金流利潤率由負12%降至負14%。管理層預估2027會計年度全年營收為8.88億至8.92億美元，並預期到年底自由現金流利潤率可達約2%——全年約正1800萬美元。

Netskope的AI安全訂單儲備中，約有三分之一正處於或即將進入概念驗證階段，而典型的企業銷售週期為六至12個月。這樣的時間安排，意味著有意義的AI安全營收將落在2028會計年度，而非2027會計年度。非一般公認會計原則（non-GAAP）營業利潤率年增11個百分點至負9%，公司持有11億美元現金及有價證券。Netskope連續第三年獲評為Gartner SASE平台魔力象限的領導者，在執行能力上位居最高位置，並持有AWS AI安全領域的安全能力認證。

下一波需求從何而來

AI基礎設施的建置，正在創造三年前並不存在安全需求。主權AI計畫、新興雲端供應商與前沿AI實驗室，在採購運算力的同時，也在購買防火牆、安全存取服務邊緣（SASE）——即將分支機構與遠端流量導向雲端安全檢查點的架構——以及資料安全工具。部分企業如今要求AI模型與訓練資料必須在其自有邊界內運行，這使得氣隙部署與資料治理被納入基礎設施預算，而非合規預算。

受益者名單廣泛而非狹窄：即時偵測與回應、非人類身分治理、軟體供應鏈安全、資料安全與暴露面管理。每一項都是AI所擴大的獨立攻擊面。非人類身分——服務帳戶、API金鑰與自主代理——是最新的一類，因為AI代理在系統上行動時，鍵盤前並無真人操作。

摩根大通自身的論述也附帶風險。彈性承諾定價讓客戶能將既有合約價值轉向新的AI安全產品，而無須啟動全新的採購流程，這會推升合約規模與留存率，卻延後營收認列。這正是為什麼在本輪週期中，ARR與訂單量是比帳面營收更好的動能指標，也是為什麼管理層對近期影響採取保守財測。

轉化窗口才是關鍵數字。摩根大通預期，AI安全專案將自2026年第四季起從評估與試用轉為實際訂單，並在2027年明顯加速。今日押注此一論點的投資人，實際承擔的是可見訂單儲備與帳面營收之間長達12至18個月的時滯——而Netskope淨新增ARR僅9%的成長，正提醒著這個時滯真實存在。2026年第四季的財報，以及隨後公布的2028會計年度業績，將是4300億美元這一估計開始反映在損益表上、或被下修的關鍵時刻。

本文僅供參考，不構成投資建議。