多年来，企业网络攻击面的范围和复杂程度一直在不断扩大，且这种扩张趋势毫无放缓迹象。
这一趋势可归因于多个因素，其中包括：
• 物联网的兴起，为网络增加了大量设备
• API和互联微服务的日益普及
• 远程办公模式的转变，需要将家庭设备和连接纳入工作体系
• 影子IT的泛滥似乎难以控制
• 向去中心化基础设施管理和云服务的迁移，使整个IT生态系统变得更加复杂和难以捉摸
根据云安全联盟(CSA)的数据，目前82%的企业采用混合环境。近三分之二的企业与两家或更多云服务提供商合作，这进一步加剧了攻击面的复杂性。
AI的广泛应用更是让情况雪上加霜。AI助手和智能体为网络犯罪分子提供了可乘之机，他们也利用自己的AI工具扩大攻击规模。CSA调查发现，超过半数的受访企业使用AI，其中约三分之一已经遭遇过与AI相关的安全漏洞。
攻击面迅速扩张，网络事件看似无休止地增加——Clutch的一项调查显示，73%的企业经历过网络事件，55%的企业在过去一年中遭遇过此类事件——这要求我们采用全新的攻击面管理方法。仅仅进行微调已远远不够。
我预测，到2026年，攻击面管理将发生转变，重点将放在以下几个方面：
• 集中式云管理，安全访问服务边缘(SASE)解决方案将成为主流
• 主动风险管理将取代被动应对措施
• 零信任将成为不可或缺的基本要求
• 智能、自主的AI工具将成为攻击面保护的关键
• 高度关注第三方和供应链风险
1. 云管理将实现集中化
迄今为止，并非所有云资产都处于完全无人管理的状态，但管理方式较为分散。随着越来越多敏感数据和业务迁移至云端，风险也在不断上升，云保护的重要性前所未有。
此外，远程办公和混合办公模式的兴起，员工自带设备(BYOD)并通过不安全或安全防护不足的网络登录云系统，这要求我们加强云防护。这需要采用诸如软件定义广域网(SD-WAN)网络、防火墙即服务、安全网页网关、云访问安全代理(用于云数据可视化和控制)以及强大的数据丢失防护计划等措施，同时结合身份和访问管理、零信任和企业策略执行等传统防护手段。
鉴于涉及众多环节，我们预测，采用集成这些多维度防护措施的解决方案将大幅增加。如今先进的SASE技术能够无缝整合上述所有方法，通过集中到一个视图来降低复杂性并提高敏捷性，这将推动SASE在2026年占据主导地位。
2. 主动出击将成为关键
进入2026年，网络威胁数量之多、严重性之高、发展速度之快，使得被动应对措施难以取得成功。要堵住每一个漏洞、加固整个攻击面，简直是不可能的任务。新的漏洞不断涌现，尤其是在不断延长的供应链中。因此，唯有主动出击才能奏效。
我们预测，2026年的主动攻击面管理措施将包括：
• 持续、自适应、自动化的资产盘点。企业将部署解决方案，持续扫描生态系统以发现新资产，并绘制其范围和内外部弱点图。
• 具备相关意识的决策层。企业将更倾向于选择那些懂得监测和评估攻击面各个部分(包括AI工具)的领导者。
• 集成式实时威胁情报。实时威胁情报将被整合到所有攻击面管理工作流程中，确保决策领先于恶意行为者，而非滞后。
• 自动且即时威胁排序。漏洞管理方法将根据漏洞的可利用性、严重程度及对业务运营的影响来对风险进行优先级排序，确保最严重的漏洞得到优先处理，避免被忽视。
3. 零信任将赋予新内涵
网络钓鱼攻击不断演变。2025年，我们已经见证了更狡猾的网络钓鱼、视频钓鱼、二维码钓鱼以及许多其他类型的社会工程攻击。人为失误仍然是最大的网络风险，而触发人为失误的方法也变得越来越巧妙。例如，在二维码钓鱼攻击中，63%的案例涉及能够访问敏感数据的员工主动发起输入向量。
AI生成的深度伪造内容取得了巨大进步，这意味着即使是音频和视频通话也不再可信。例如，某公司员工被一通据称是CEO打来的电话欺骗，授权进行大额付款。他们认出了CEO的声音，但那其实是AI生成的。卡迪夫大学2025年的一项研究发现，深度伪造语音能够以95%至97%的准确率欺骗语音识别系统，而人类对于已知声音的真伪辨别率仅为17.5%。
要阻止这类攻击是不可能的，唯一真正的防御措施是对员工进行持续且反复的培训。我们预计，旨在推动实际行为改变并在工作过程中进行的网络钓鱼模拟培训将得到广泛应用。上下文信息成为判断真实性的关键线索。
与此同时，企业还将建立并严格执行访问控制、对所有人员和设备实施零信任策略，并默认采用多因素身份验证。内部暗语和超过一定金额的付款需双人验证将成为常态。
4. AI将成为关键角色
长期以来，关于将AI集成到网络安全解决方案中的利弊一直存在争议，然而，事实证明，虽然AI是攻击面管理面临的问题之一，但它也是解决方案的关键部分。到2026年，AI在攻击面管理中的应用将成为常态。
这不仅仅是指利用AI自动化扫描和触发关于可疑邮件或潜在网络钓鱼扫描的警报，它将包括智能、自主的AI，能够自主发现威胁并比人类更快地修复它们。
例如，多个专业智能体可以协同工作，识别威胁、分析其构成的风险水平，并实时修复相关漏洞。
在另一种场景中，众多智能体可以监控用户行为、共享威胁情报，并动态识别和应对新兴威胁，解决未知的未知问题，以领先恶意行为者一步。
5. 风险管理将超越企业边界
第三方和供应链风险并非新问题，但在2026年，它们将成为焦点。如今的企业依赖于长长的数字供应链，包括应用程序、短代码、API和提供关键数字服务的软件。这些供应链可能不透明，包含许多看不见的第n方，它们为聊天机器人、配送跟踪器、支付网关、数据库检索等提供支持。
只要有一个被攻破的依赖项或被忽视的漏洞，攻击者就能侵入供应链，并横向移动到目标组织。这尤其令人担忧，因为许多数字合作伙伴是缺乏资源来使用数据脱敏技术保护自己和用户数据的小型企业。
因此，2026年将看到更广泛的攻击面映射兴起，其范围将超越企业本身，覆盖整个供应链。包含第三方、第四方和第n方风险的风险评估解决方案将超越竞争对手，企业将更倾向于选择能够动态更新以反映不断变化的威胁环境的第三方评估解决方案。
2026年将是攻击面管理的关键一年
随着攻击面不断扩大，攻击本身变得更快、更智能，攻击面管理必须比攻击者更加聪明、更具前瞻性。2026年将成为攻击面管理突破固有框架、变得敏捷、主动、智能和远见卓识的一年，这一切都将由新技术推动。
