文章总结： Gartner首次发布威胁情报魔力象限报告，评估了17家厂商的执行能力和愿景完整性。报告指出威胁情报市场正从传统数据服务转向解决方案驱动，到2028年50%企业将淘汰仅提供报告的传统产品。领导者厂商如CrowdStrike、Google等通过专有数据源、AI自动化和闭环集成实现原生运营化。未来趋势包括运营化优先、平台融合和AI全面接管工作流，中国厂商绿盟科技凭借中文威胁场景处理能力入选远见者。
综合评分： 85
文章分类： 威胁情报,安全运营,解决方案,技术标准,AI安全
为什么Gartner现在才发布第一个威胁情报魔力象限？
原创
玄月调查小组
玄月调查小组
玄月调查小组
2026年5月8日 10:40
上海
在小说阅读器读本章
去阅读
众所周知，魔力象限是科技行业最权威的厂商评估报告之一。
威胁情报魔力象限
它会从执行能力和愿景完整性两个维度，把市场上的主流玩家分成四个阵营：
- 领导者：执行和愿景双优，是行业标杆
- 挑战者：执行能力强，但愿景前瞻性稍弱
- 远见者：愿景超前，但执行和规模还有差距
- 利基玩家：专注细分领域，有独特优势
之所以Gartner现在才单独出威胁情报象限，是因为过去几年威胁情报市场发生了根本性变化。传统威胁情报（CTI）和数字风险保护服务（DRPS）的边界模糊了，企业需要的不再是零散的数据，而是能直接解决问题的解决方案。
此前Gartner文章：威胁情报、数字风险保护服务与外部攻击面管理存在重叠
最终，全球17 家厂商闯过了层层筛选，登上了Gartner 首份威胁情报魔力象限。
按照 Gartner 的定义，威胁情报市场，是提供关于网络威胁、威胁行为者及相关问题的可操作洞察、背景和指导的解决方案。
核心目标是帮企业搞清楚潜在对手是谁、想干嘛、会怎么干，最终降低网络攻击的风险和影响。
但这次 Gartner 直接给威胁情报市场，划了一条生死线。
到 2028 年，超过 50% 的企业采购威胁情报，会彻底抛弃那些只会写报告、做数据富集的传统产品。
能站在右上角领导者象限的，全都是在”原生运营化”上跑在最前面的玩家：CrowdStrike、Google、Group-IB、Recorded Future、ZeroFox。
而那些还在靠卖报告、卖数据为生的厂商，要么掉到了挑战者象限，要么只能在利基市场里挣扎。
Google能当领导者，靠的是互联网规模遥测数据+Agentic AI。
它把VirusTotal的全球恶意样本库、Mandiant的一线攻防经验，和自己的大模型结合起来。
现在Google的威胁情报AI，能自动分析恶意软件的逆向输出，提取TTP，甚至自动生成检测规则，直接推送到Google SecOps平台里。
关于Google的Agent，小编在【安全产品动态】Google Cloud Next ’26带来了哪些安全创新？曾经做过介绍。
CrowdStrike的杀手锏，是端到端的集成生态。
它的Falcon平台本身就是全球最大的终端安全平台之一，每天处理万亿级的遥测数据。
威胁情报能直接在Falcon里落地，自动生成狩猎查询、自动隔离受感染的终端、自动阻断恶意通信。
不用切换平台，就能完成从发现到响应的全流程。
ZeroFox则把下架能力做到了极致。
它在北美有一个庞大的分析师和运营团队，能快速把钓鱼网站、假冒APP、仿冒社交媒体账号从互联网上删掉。
有意思的是，在右下的远见者阵营里，我们看到了绿盟科技（NSFOCUS） 的名字。
这是本次魔力象限中，唯一一家上榜的中国厂商。
绿盟能跻身远见者，靠的不是跟风做通用能力，而是中文威胁场景。
它自研了专门针对中文安全内容优化的大模型NSFGPT，能准确理解中文暗网论坛、社交媒体、黑客群里的黑话和威胁信息。
它的AI浏览器插件能自动高亮网页里的IP、域名、哈希等IOC，实时给出风险评分，还能一键生成调查报告。
（可惜小编没试过这些功能，有没有试过的朋友在评论区分享一下？）
除了正式上榜魔力象限的绿盟，还有另一家中国厂商也获得了 Gartner 的认可，进入了荣誉提名名单——ThreatBook，也就是微步了。
为什么同样是做威胁情报，有的厂商能当领导者，有的在利基市场？
Gartner在报告里一句话点破了核心：随着 CTI 能力日益标准化，差异化不再由功能的有无驱动，而是由厂商交付能够改变安全项目结果的情报的有效性所驱动。
拉开差距的关键，就在这四个维度：
专有情报的深度，决定了自动化的上限
自动化不是空中楼阁，它的基础是高质量的情报数据。
领导者们都有别人拿不到的专有数据源。
比如Flashpoint能进入封闭的黑客论坛和加密聊天群，拿到第一手的攻击计划；
Group-IB和全球多国的执法部门有合作，能拿到最新的数据。Group-IB在官网说，仅在2025年，就为52个执法机构提供了支持，促成了1809次逮捕行动，并摧毁了34838个恶意基础设施。
Intel 471有专门的人类情报（HUMINT）团队，长期渗透在地下网络里。
这些一手数据，是靠爬公开网站的开源情报替代不了的。
AI已经从”辅助工具”变成”核心生产力”
过去的AI，只能帮分析师总结报告、分类数据。
现在的AI，已经能独立完成大部分运营工作。
比如ReliaQuest的GreyMatter AI，能自动分析告警，生成完整的调查报告，甚至自动执行响应动作；
SOCRadar的XTI平台，能自动生成适用于SIEM、EDR、防火墙等多种产品的检测规则，还能批量部署和回滚。
闭环集成，才是真正的”原生运营化”
很多厂商都说自己能”集成”，但大部分都是单向的：把情报推给第三方工具，就完事了。
真正的原生运营化，是双向闭环。
情报不仅能自动推送到安全工具里执行防御，工具还能把防御效果反馈给情报平台，让AI自动优化规则、降低误报率。
比如Google的威胁情报平台，能实时接收Google SecOps的告警数据，自动调整检测规则的优先级；
CrowdStrike的Falcon平台，能根据终端的实际防护效果，不断更新威胁情报的置信度。
产品+服务，是最后一公里的保障
不管AI多厉害，总有它搞不定的复杂攻击。
领导者们都把分析师服务直接嵌入到了产品里。
比如CrowdStrike有一支由逆向工程师、恶意软件分析师、人类情报收集员组成的庞大团队，能为客户提供定制化的威胁狩猎和应急响应服务；
CrowdStrike Falcon Adversary OverWatch的产品解决方案
当然，没有完美的平台。即便是领导者，也有各自的软肋。
CrowdStrike定价极其复杂，而且威胁情报能力和Falcon平台深度绑定，想买单独的情报服务几乎不可能；
Google的高级自动化功能，只对自家的SecOps优化，用其他SIEM的企业根本用不了；
Recorded Future的平台模块太多太杂，想要完整功能，总价高得吓人。
但这些都不影响行业的大方向。
Gartner在报告里指出，未来三年，威胁情报市场会有三个趋势：
第一，运营化优先于观测化。厂商正把自动响应、自动规则生成作为核心卖点，减少人工交接时间，加快防御相应速度。
第二，平台融合。CTI（威胁情报）、DRP（数字风险保护）、EASM（外部攻击面管理）会融合成一个统一的外部威胁平台，企业不用再买好几个不同的产品。
第三，AI全面接管核心工作流。从数据收集、分析、归因，到规则生成、响应执行、效果评估，AI会贯穿整个威胁情报生命周期，人类分析师只需要管理误报问题。
写在最后
小编认为，威胁情报的这场变革，本质上是在重新定义安全团队的价值。
过去，安全运营是情报搬运工，每天的工作就是分析IOC、分析漏洞情报、优化规则、处理告警。
未来，考验的是安全团队的Harness Engineering能力，如何指挥AI去发现和阻止攻击。
当AI能自己完成90%的安全工作时，剩下的10%，才是真正考验人类智慧的地方。
你的安全团队，准备好迎接这个时代了吗？
参考资料：Magic Quadrant for Cyberthreat Intelligence Technologies
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：玄月调查小组 玄月调查小组
玄月调查小组《为什么Gartner现在才发布第一个威胁情报魔力象限？》