Black Hat 2026集体押注AI Agent，安全运营开始迈向自主化

Part01

AI Agent主导今年展会

Black Hat 2026正在成为又一场AI含量极高的安全大会，但今年的产品发布表明，整个行业正在超越“给现有产品简单叠加上Copilot助手”的阶段。

厂商们正越来越多地将AI嵌入实际运营工作流，同时将自动化与治理、暴露管理、恢复能力相结合，目标是在企业环境中真正落地自主安全 。

纵观今年的发布，几条主线十分突出：安全厂商强调以攻击路径分析取代单纯的漏洞数量统计；将外部威胁情报直接集成到安全与恢复工作流中；推出面向特定场景的AI Agent，在不要求客户替换现有基础设施的前提下加速安全调查。

以下是本次大会值得关注的产品发布汇总。

Part02

ArmorCode新增AI Agent

ArmorCode扩展了其Agentic Control Plane平台，新增四款Anya AI Agent，并增强了Context Risk Graph功能。这些新能力旨在帮助组织基于“真实业务风险”（而非单纯的CVE数量）来确定漏洞修复的优先级。

新功能引入了攻击路径分析、网络可达性映射、补丁管理集成，并支持Web应用防火墙（WAF）和端点检测与响应（EDR）平台等补偿性控制措施。ArmorCode表示，新的AI Agent能够调查漏洞的可利用性、推荐缓解方案、评估云暴露风险，并编排补丁发布流程。同时，通过复用共享安全上下文，可减少冗余的AI分析和运营成本。

Part03

Cribl将遥测数据变为AI可观测性

Cribl发布了全新的AI可观测性（AI Observability）应用，同时扩展了检测工程能力，并推出流原生检测（Stream-Native Detections）。AI可观测性应用利用企业已经收集的遥测数据，帮助其掌握AI模型使用情况、Token消耗、支出以及潜在的敏感数据暴露风险。

此外，Cribl通过收购CardinalOps增强了检测工程能力：可将检测规则映射到MITRE ATT&CK框架、识别覆盖缺口，并引入AI辅助工作流。新的流原生检测功能旨在直接从流转中的遥测数据中识别高置信度威胁，而无需另行搭建数据平台。

Part04

Google威胁情报纳入恢复工作流

CommVault宣布在Threat Scan与Google Threat Intelligence之间建立集成，帮助组织在网络攻击发生后识别安全的恢复点。

该集成将Google威胁情报与CommVault的备份验证工作流相结合。新的内联文件哈希采集功能可在备份操作期间，将恢复点与威胁指标进行比对。CommVault表示，这种分层方法使客户能够在对恶意软件或取证进行深入分析之前，更快地验证恢复点，并强化了其AI驱动的合成恢复（Synthetic Recovery）能力。该功能预计在未来几个月内上线。

Part05

SOCRadar聚焦身份暴露情报

SOCRadar在其扩展威胁情报（Extended Threat Intelligence，XTI）平台中推出了一款名为People Intelligence的新功能，专注于身份威胁。

该功能将泄露的凭证、窃密程序（Stealer）日志、个人身份信息（PII）、攻击者遥测数据以及其他外部身份暴露数据，聚合为统一的分析记录，使调查人员无需集成内部HR和IAM系统，即可对身份风险进行优先级排序。自动化的风险评分和整合的身份上下文信息，旨在减少调查过程中的手工关联工作。

Part06

Arctic Wolf强化网络韧性布局

Arctic Wolf发布了全新的Cyber Resilience产品，将托管检测与响应（MDR）、暴露管理、端点保护、事件响应以及最高300万美元的保障赔偿整合为一个统一方案。该产品现已通过Arctic Wolf及其合作伙伴生态系统提供。

此外，Arctic Wolf还披露了Aurora Agentic SOC的最新进展：每周处理超过10万亿条安全事件，引入新的“平均可信行动时间”（Mean Time to Trusted Action，MTTA）指标，扩展Swarm of Experts架构，并通过Arctic Wolf Portal的更新增强客户可见性。

另外，该公司还发布了面向合作伙伴的Cyber AI Readiness Accelerator（网络AI就绪加速器），将Aurora Attack Surface Management与渠道合作伙伴的咨询和修复服务相结合。这项为期30天的评估服务旨在帮助组织盘点暴露资产、识别攻击路径、确定修复优先级，并建立更广泛的网络韧性体系。

Part07

Crogl为SOC推出“主权AI”

Crogl宣布其Enterprise AI SOC Agent正式全面可用（GA），并提供免费下载。该自主调查平台设计运行在客户可控的环境中，包括本地部署和物理隔离（Air-Gapped）环境。它可以与现有安全工具集成，无需新建数据管道或进行Schema标准化。Crogl表示，该平台能够调查告警、执行威胁狩猎、记录调查步骤并生成报告，同时允许组织将安全数据保留在自己的基础设施之内。

Part08

Tanium扩展自主安全平台

Tanium宣布为其Autonomous IT Platform新增多项功能，涵盖Agentic AI、暴露管理和安全运营。新的Alas功能包括后台AI Agent、Agent性能分析、扩展的自动化能力，以及一个MCP服务器——可将经过治理的Tanium数据开放给兼容的AI助手。此外，Tanium还推出了外部攻击面管理（External Attack Surface Management）、攻击路径映射（Attack Path Mapping）、Agent引导式威胁狩猎（Agent-Guided Threat Hunting），以及Google Threat Intelligence的私有预览版集成，其业务重心正从端点管理扩展至协同自主安全运营。