六大趋势重塑IAM市场：从非人类身份到代理式AI

摘要：非人类身份激增、无密码认证、监管收紧及市场并购潮，正重新定义CISO的IAM战略。

身份与访问管理市场的焦点已从传统的“登录与多因素认证”机制，转向将身份视为安全控制平面。

根据行业分析机构Context的数据，2025年欧洲网络安全市场整体增长7.5%，而IAM市场增幅达10.8%。截至2026年1月，市场进一步加速，仅1月就录得24%的同比增长。

Context全球研究及业务拓展总监Joe Turner表示，这一市场增长反映出“保障用户安全”已成为许多企业安全计划的支出优先级。

根据CSO采访的多位市场专家，采购方正优先考虑抗钓鱼认证，包括通行密钥，以及对非人类身份的管理。

密码管理工具厂商1Password的全球顾问CISO Dave Lewis表示：“员工身份访问仍是基石，但现在越来越多的项目纳入了治理、特权访问和非人类身份的控制，因为攻击者和审计员不断在这些缺口处找到突破口。”

趋势一：代理式AI撼动IAM未来

非人类身份（诸如机器身份、AI代理、密钥）管理需求的增加，是推动IAM作为技术和市场演进的重要驱动力。

安全及复杂数字基础设施提供商Conscia UK的CTO Paul Hanagan指出：“非人类身份（服务账户、API密钥、AI代理和物联网设备）正在显著增长，在大多数企业中，其数量已经是人类用户的三倍左右。”

IT行业正从引入AI技术迈向代理式AI阶段，即自主代理代表用户行事，自主性不断增强。这一转变要求安全控制在管理身份和资源访问方面进行重新思考。

Hanagan表示：“这些实体的数量和独立性要求进行谨慎监控，实施最小权限原则，并定期轮换密钥，以确保非人类身份的安全。黑客越来越多地以非人类身份为目标获取访问权限，因此这些服务必须像人类账户一样严格保护。”

AI应在行为分析、权限管理和配置管理方面发挥重要作用，帮助构建连接安全与治理的身份架构。

SiliconAngle及theCUBE驻场分析师Jon Oltsik指出：“要有效运作，AI代理需要持续访问各类数据，这将导致行为的快速变化。我们需要为此制定策略和防护措施。”

趋势二：无密码认证兴起

密码长期以来是多数安全架构中最薄弱的环节。许多手机和笔记本电脑已使用生物识别技术进行认证，其用户体验通常远胜于在界面中输入冗长复杂的密码。无密码认证（FIDO2/通行密钥、生物识别）的日益普及正在重新定义许多IAM项目的范围。

Conscia的Hanagan表示：“许多企业仍处于部署通行密钥和FIDO2的早期阶段，而生物识别通常作为更广泛多因素认证战略的一部分进行部署，硬件成本和管理开销仍是广泛采用的障碍。”

趋势三：监管重塑IAM架构

监管环境已从合规性“打勾”式练习，转向旨在证明企业遵守法规的治理和持续测试。Conscia的Hanagan认为，这种转变正积极重塑企业设计IAM项目的方式。他表示：“大量监管工作正在进行中。GDPR、NIS2、DORA、PCI DSS 4.0以及各行业特定框架，都聚焦于谁在何时、因何访问什么。”

Hanagan补充道：“欧盟与英国的做法往往不同——例如eIDAS 2.0正在推动整个欧洲采用数字身份钱包——这使得跨国企业跨区域合规尤为困难。”

趋势四：主权IAM与eIDAS 2.0推动身份去中心化

随着欧洲数字身份钱包的引入，企业正着眼于去中心化身份架构。

Context的Turner表示：“欧洲企业不再存储用户数据，而是成为‘依赖方’，通过政府支持的数字钱包以加密证明方式验证身份，从而减少个人身份信息责任并符合欧盟数据法案，尤其是在数据最小化方面。”

趋势五：托管IAM服务崭露头角

网络安全人才缺口以及现代企业IAM的技术复杂性，正同时影响CISO的身份与访问策略以及IAM市场的发展方向。

1Password的Lewis表示：“多数企业运行着混合环境，同时存在SaaS应用泛滥，身份层面分散在多个目录、遗留应用和不一致的权限模型之中。”

Conscia的Hanagan指出，为应对人才短缺背景下复杂性带来的挑战，许多企业正转向托管IAM服务。他表示：“现代IAM解决方案设置复杂，需要深厚的知识和专业技能。当这一点与‘AI可能取代岗位’的恐惧（这阻碍了新人才进入该行业）以及不断收紧的监管相结合时，就不难理解为何现代IAM项目难以快速推进了。”

趋势六：IAM行业整合加速

随着供应商竞相构建最全面的平台，同时应对机器身份和AI代理管理难题，IAM市场正经历整合期。

近几个月值得关注的IAM并购活动包括：

• 去年7月，Palo Alto Networks以250亿美元收购了特权访问管理公司CyberArk。
• Delinea于3月宣布计划收购通用访问管理公司StrongDM。StrongDM为DevOps和AI代理提供“即时”访问，使Delinea从提供静态密码管理转向动态运行时授权平台。交易金额未披露。
• CrowdStrike于2026年1月宣布以7.4亿美元收购身份安全初创公司SGNL，并以4.2亿美元收购浏览器安全初创公司Seraphic Security。SGNL能够基于实时上下文授予访问权限（例如，“仅当该开发人员有活跃Jira工单时才允许其查看数据库”）。
• Zscaler于2026年2月收购SquareX，从而获得可在非受管设备上检测基于身份攻击的浏览器安全技术。
• Sophos收购Arco Cyber，该交易旨在为中型市场带来AI驱动的治理能力。Context的Turner表示：“该交易瞄准的是那些拥有50至500个席位、没有全职CISO但需要满足英国新《网络安全法案》要求的企业。”