面向 Langflow 类智能体应用的爆炸半径控制平面——把共享密钥换成按步生效的临时授权，配上断链式熔断开关。

1. 600 多次有针对性的载荷，加上 31 秒内自我修正的失败路径，说明遏制必须在运行时内联发生，而不是等人工分析师看完告警之后才动手。
2. 攻击者靠一个 Langflow 立足点就打到了生产环境的 MySQL 和 Nacos，证明开源智能体运行时离配置和数据系统已经近到——一次入侵就能迅速连锁扩散。
3. OpenAI、Anthropic、DeepSeek 和 Gemini 的凭证被一并窃取，说明多模型密钥隔离已经是当下的运营刚需，而不是纸面上的最佳实践。
4. 人类只需挑目标，执行交给模型——智能体勒索软件不需要完全自主，就能变成一种可复制、可实操的现实威胁。

催化因素。 JadePuffer 把一个 Langflow 漏洞变成了生产数据库入侵、多模型密钥窃取和机器速度的勒索软件执行——运行时密钥隔离，对任何在生产环境跑自建智能体的团队来说，都成了迫在眉睫的管控缺口。

这家创业公司在智能体运行时和每一个依赖密钥的下游——模型厂商、数据库、向量库、消息队列、内部 API——之间，插入一层策略与凭证 sidecar。不再把厂商或数据库的原始密钥直接挂进容器，而是只在获批节点执行时才签发短期凭证或签名代理会话，并严格绑定该步骤被允许触达的模型、租户和目标地址。系统会为每条流程构建实时执行图：一旦被攻陷的节点突然调用陌生工具、疯狂重试载荷，或者跨越租户边界，系统就会暂停该次运行、轮换已暴露的权限，并留存可回放的证据供事后调查。团队可以照常用自己的 Langflow 或 Flowise 项目，但多了一道可强制执行的密钥边界，以及通用密钥管理器给不了的一键熔断开关。随着时间推移，公司会沉淀一套关于生产智能体应用中正常凭证与工具使用模式的专有数据集，让防护效果和未来攻击的风险评估都越来越准。

差异化。 密钥管理器解决的是存储和轮换，但通常把一把长期有效的凭证交给运行时之后就撒手不管了。智能体安全厂商大多盯着提示词滥用、策略审查或事后监控，却漏掉了流程把意图变成带凭证执行动作的那个瞬间。这家公司守的正是这个执行边界：按步铸造访问权限、理解预期的流程拓扑，还能在运行途中掐断或轮换权限，而不用逼团队放弃现有框架。它的护城河靠深度集成，加上一份跨框架、记录正常工具调用与密钥使用行为的数据集不断加厚——这是现有厂商看不到的东西。

待完成任务

flowchart LR
  Buyer[Platform Security Lead] --> Pain[Shared secrets inside self-hosted agent flows]
  Pain --> Product[Agent Secret Fuse]
  Product --> Outcome[Scoped access and contained breaches]

高管要点

• JadePuffer 把一台暴露的 Langflow 主机变成了密钥窃取、横向移动和破坏性数据库勒索的跳板，证明运行时遏制是一个真实的管控缺口，而不是抽象的 AI 安全议题 [1][2][3][4]。
• Langflow 明确把租户隔离丢给基础设施层去解决，Flowise 的生产指南也仍然依赖外部密钥管理器、正确的代理配置和多工作进程架构；今天真正扛着爆炸半径责任的是买家，不是框架维护者 [6][10][11][12]。
• 预算已经存在于相邻科目——云密钥管理器、Vault/Akeyless 和机器身份项目——但真正能赢的切口，必须证明自己懂智能体步骤上下文、能内联撤销租约，遏制速度也要比纯存储型工具更快 [17][22][24][25][26][27][28]。
• GTM 应该从已经在部署或试点生成式 AI、且正面临传统 IAM 应付不了的 AI 身份与密钥泛滥压力的中型 B2B SaaS 团队切入 [29][31][32][33][34]。
• 这是一个窄切口，但扩展路径可信：先做 Langflow/Flowise，等策略和遥测能力得到验证后，再扩展到 MCP 服务器和更广泛的企业内部 AI 平台 [8][9][35][36]。

市场定义

这个市场是面向自建智能体与工作流技术栈的运行时身份与密钥遏制层——尤其是 Langflow、Flowise 及相邻的 MCP 兼容系统，这些运行时会用共享凭证去调用 LLM 厂商、数据库、存储和内部 API [6][8][9][10]。

用户与买方

日常操盘手通常是 AI 平台或平台安全工程师，负责自建智能体应用的 Kubernetes、工作负载身份、密钥和生产事件响应；一旦客户安全审查、董事会审视或网络保险压力把爆炸半径问题摆上台面，真正拍板付费的就是 工程副总裁 或 CISO [6][10][11][14][26]。

购买触发点

• 一次公开或内部的漏洞利用证明，一台有漏洞的流程主机就能导致厂商密钥被窃和生产数据库被攻陷。 [1][2][3][4]
• 企业客户、董事会或保险公司追问的不再是密钥怎么存，而是智能体流程被攻陷后该怎么遏制。 [14][26]
• 团队把 Flowise 或 Langflow 扩展到带负载均衡、多工作进程的生产环境后才发现，密钥处理、代理信任和隔离仍然要靠自己扛。 [6][10][11]

支付意愿

买家已经在为相邻的管控措施掏钱——AWS Secrets Manager、Vault/Akeyless 和机器身份项目——所以预算说服的重点是减少手动轮换、审计苦活和入侵爆炸半径，而不是开辟一个全新的支出科目。 [17][22][25][26][29]

品类动态

增长信号 2025 年公开检测到的硬编码密钥同比增长 34% [29]

验证信号

• 一起真实的公开事件，完整演示了目标运行时家族里的失效链条——从 RCE 到密钥窃取，再到破坏性数据库操作 [1][2][3][4]。
• Langflow 和 Flowise 发布的生产/自建指南，都默认操作者要自己管理密钥、代理、存储或隔离 [6][10][11]。
• 机器身份和密钥泛滥在加速蔓延，给了安全团队更充分的预算和政策理由，去重新审视运行时管控 [26][29][30][34]。
• 企业生成式 AI 的采用已经足够普及，一个窄的运行时安全切口，完全可以搭上现有 AI 平台项目的顺风车 [31][32][33]。

监管与技术约束

• Langflow 不提供应用层的租户隔离；安全的多租户部署需要在应用之外自行做进程、磁盘、网络和数据库隔离 [6]。
• Flowise 的生产模式依赖正确的代理配置、队列模式和外部密钥存储，才能避免全局限流和不安全的密钥处理 [10][11]。
• 工作负载身份的模式因云而异，跨云的策略和密钥代理，天生就是集成密集型的工作 [19][20][21]。
• 最小权限和审计方面的要求，增长速度已经超过了那些为人类用户或长期服务账号设计的企业 IAM 工具 [13][14][16][34]。

采用阻力

PESTLE

• 政治 CISA 和 NIST 正积极为智能体 AI 发布指南和自愿性标准工作，在硬性监管落地之前就提高了买家的认知 [14][15][16]。
• 经济 大公司已经为生成式 AI 项目编列了可观的预算，为运行时管控提供了母预算，尽管真正全面落地运营的公司仍是少数 [31][33]。
• 社会 每周使用生成式 AI 的比例和组织熟悉度都在上升，让目标客户内部的 AI 平台和安全负责人更容易被识别出来 [31][32]。
• 技术 工作负载身份、动态密钥和护栏原语，已经在各大云厂商和供应商那里普及，编排层的缺口因此比底层构件本身更重要 [19][20][21][22][23][24][37][38][39]。
• 法律 最小权限、可信性和可审计管控这些措辞，正在 OWASP、CISA 和 NIST 的指南里变得越来越明确，这为围绕安全审查的销售提供了支撑 [13][14][15][16]。
• 环境 生产环境的 AI 技术栈本来就需要队列、扩缩容和可观测性这几层，所以任何内联遏制层都必须避免明显增加运行时开销 [10][33]。

竞争格局分成两派。通用密钥管理器和机器身份厂商，管的是存储、证书或动态凭证 [17][22][23][24][25][26][27][28][40]。云原生护栏聚焦的是提示词/输入输出过滤，而不是凭证范围 [37][38][39]。Langflow 和 Flowise 在持续成熟，但它们自己的文档仍然把隔离、认证执行和生产加固丢给操作者去做 [6][10][11][12]。

为什么现有厂商不会默认胜出

• 云平台. AWS、Google Cloud 和 Azure 都已经提供工作负载身份、密钥轮换和相邻护栏，但这些管控都困在各自平台内部，给不了一个中立、跨技术栈的熔断开关，去应对混合了模型、数据库和内部 API 的流程 [17][18][19][20][21][37][38][39]。
• Vault 与 PAM 厂商. Vault 和 Akeyless 已经能签发动态密钥，但也就止步于通用的签发和认证，没法判断某个具体的智能体步骤此刻该不该拿到凭证，也看不出这次运行是否已经异常 [22][23][24][25]。
• 机器身份平台. CyberArk 和 Teleport 在机器身份、证书和治理上都很强，但它们的管控单元是工作负载或会话，而不是一次运行中穿梭于各家厂商、工具和数据存储之间的单个智能体节点 [26][27][28][40]。
• AI 护栏层. Bedrock Guardrails、Model Armor 和 Prompt Shields 能降低提示词/输入输出风险，但替代不了凭证隔离，也没法在具备工具调用能力的智能体触达密钥背后的系统后收回权限 [13][37][38][39]。
• 框架维护方. Langflow 和 Flowise 会随着时间加固默认配置，但它们目前的文档，仍然把多租户隔离、外部认证执行、代理正确性和密钥卫生都丢给操作者，这就给运行时之上的一层中立控制平面留出了空间 [6][10][11][12][36]。

波特五力

• 供应商议价能力 4 / 5 云平台和模型厂商掌控着身份原语、密钥 API 和护栏接口——任何运行时安全层都得跟它们集成，而它们随时可能把相邻管控功能捆绑进自己的产品 [17][19][20][21][37][38][39]。
• 买方议价能力 4 / 5 早期买家自己就能把云密钥存储、Vault 类工具和人工管控拼凑起来，所以新厂商必须证明自己遏制更快、运维负担更小，而不只是又一块仪表盘 [10][17][22][25][26]。
• 新进入者威胁 4 / 5 开源智能体框架和成熟的工作负载身份原语，把创业公司和现有厂商的入场门槛都拉低了，尽管深度集成和遥测数据日后能形成一定黏性 [8][19][20][21][23][27]。
• 替代品威胁 5 / 5 托管密钥存储、动态密钥平台、机器身份工具和云护栏，已经从不同角度覆盖了这个问题的大部分，买家手上永远有一个"够用"的备选方案 [17][18][19][20][21][22][23][24][25][27][37][38][39]。
• 竞争强度 4 / 5 机器身份厂商、密钥管理器、AI 护栏工具，乃至开源运行时本身，都在往相邻的管控领域扩张，比较对象已经很拥挤 [6][10][22][24][26][27][37][38][39][40]。

Agent Secret Fuse 瞄准的是自建智能体运行时里一个刚刚暴露的管控缺口：Langflow 类工作流常常把可复用的模型厂商、数据库和内部 API 凭证，直接挂进一台随时可能被攻破的主机。JadePuffer 印证了这种失效模式——从一个 Langflow 漏洞一路打到生产数据库访问权限和多模型密钥窃取，所以第一单该卖的是针对单个生产工作流的加固试点，而不是泛泛的 AI 治理提案。滩头市场是 100-300 人规模的垂直 SaaS 厂商——它们在自己的 VPC 里跑客户专属的 Langflow 或 Flowise 自动化，现在正被企业客户、董事会或网络保险公司拉去做安全审查。MVP 是一套 Langflow/Flowise 代理与 sidecar，为模型厂商、数据库和内部 API 调用签发按步授权的访问权限，构建执行图，先以观察模式起步，再开启内联熔断动作。定价、渠道和上线流程都围绕单个受保护工作区来设计，因为这正是首个客户感受到痛点的方式，也是相邻的密钥和 IAM 预算已经分配的方式。研究测算这个窄切口的 TAM 和 SAM 只有约 $400M 和 $72M，所以创投层面的上行空间，取决于能否证明从 Langflow、Flowise 扩展到 MCP 服务器和更广泛的企业内部 AI 平台，而不是把一个小众框架功能做到极致。最大的证伪风险是：买家认定 Vault、工作负载身份和人工管控已经够用，或者代理给面向客户的流程增加了太多延迟或噪音。研究支持事件的严重性和相邻预算的存在，但没有量化到底有多少目标团队已经在生产环境自建 Langflow 或 Flowise，所以前 18 个月必须先证明部署速度、付费试点转化率和第二工作区扩展，公司才能扩大销售规模。

问题

• 自建智能体的团队常把 OpenAI、Anthropic、数据库和内部 API 凭证一起挂进 Langflow 或 Flowise 运行时，一次运行时漏洞就可能演变成跨系统的密钥窃取。
• 现有的密钥库、云密钥管理器和提示词护栏，都决定不了某个智能体步骤该实时拿到哪把凭证，也无法在被攻陷的运行扩散到多个租户或系统之前把它叫停。

解决方案

• 在 Langflow 或 Flowise 与每个依赖密钥的下游之间插入代理和 sidecar，让高风险步骤拿到的是短期、受策略约束的访问权限，而不是可复用的环境密钥。
• 为每一次带凭证的运行构建执行图和事件回放轨迹，客户先在观察模式下起步，等策略在真实工作负载上调优完成，再升级到暂停、熔断和轮换动作。

为什么我们会赢

• 我们把守的是运行时凭证签发这道边界——纯存储型密钥管理器管不到这里，提示词或内容护栏也触及不到。
• 首个买家和购买触发点都很具体——一个正在接受安全审查的生产工作流——这比卖一套横向 AI 安全平台的销售节奏要快。
• 跨客户的执行图、被拦截运行的回放记录，以及针对具体连接器的策略模板，会不断叠加成一道专属于运行时层的护城河，而这不是 Vault、Teleport 或 Langflow 自身天然就有的东西。

里程碑

flowchart LR
  Wedge[Langflow/Flowise containment pilot] --> MVP[Observe-mode proxy and step-scoped access]
  MVP --> Proof[Paid pilot converts to production evidence]
  Proof --> Expansion[MCP and internal AI platform expansion]

创始团队

实验路线图

风险评估

必须成立的条件

• 至少有一个滩头细分市场，在经历客户、董事会或保险公司审查后，已经把运行时遏制当作当下的预算项。
• 代理优先的部署方案，能在不改写代码的前提下，从首个生产工作流里去掉 70% 以上的长期有效模型厂商和数据库密钥。
• 观察模式下的基线建模，能把面向客户工作流的误报遏制动作，控制在已批准运行的 2% 以下。
• 半数以上付费试点会转化为年度价值 $45k 以上的生产合同，因为买家认定纯存储型密钥管控还不够。
• 至少 35% 的生产客户会在 12 个月内扩展到第二个受保护工作区或运行时，证明这个切口不是一次性的事件驱动采购。

待尽调问题

• 有多少目标客户已经在生产环境自建 Langflow、Flowise 或类似的工具调用型工作流？
• 哪类凭证最容易触发购买——模型厂商密钥、数据库凭证、内部 API 令牌，还是对象存储访问权限？
• 代理给典型生产流程增加了多少 P95 延迟开销和运维负担？
• 在真实评估中，买家正确使用 Vault 或云工作负载身份之后，还留有哪些防护缺口？
• 保险问卷和企业安全审查，是否已经在强制要求专门的管控措施，还是这个触发点目前还只是个案？

模型合理性

• 收入引擎. 基准情景的收入，来自付费账号从 Y1 末的 4 个增长到 Q4Y3 的 45 个，同时随着第二工作区和证据模块附着，成熟账户的合同价值升向约 $95K ARR。
• 必须成立的前提. 部署速度和合作伙伴带来的销售管道必须提升到——12 个 FTE 的团队就能支撑 45 个账号，而不用提前扩充更大规模的销售指标团队。
• 模型失效的条件. 如果销售周期延后约两个月，或者第二工作区附着率明显低于 35%，下行情景会在公司走完 Y3 之前就出现现金为负。
• 下一轮融资的验证点. 具备 seed 轮融资条件的验证点是：12-14 个付费账号、低误报的生产级强制执行、35% 以上的第二工作区扩展率，以及一套可复用的合作伙伴主导部署手册。

情景

敏感性

flowchart LR
  Trigger[Security review trigger] --> Pilot[Paid hardening pilot]
  Pilot --> Production[Production subscription]
  Production --> Expansion[Second workspace or premium evidence modules]
  Expansion --> Revenue[Revenue]
  Revenue --> GrossProfit[Gross profit]
  GrossProfit --> Cash[Cash and runway]

警示项: 基准情景 Y3 末有 45 个付费账号，仍低于 research.yaml 里 60 个账户的 SOM 速记数字，需要靠第二工作区扩展才能在受保护工作区总量上接近这一水平。 · 现金是从 EBITDA 推算的，没有考虑回款时点、年度预付款和任何资本化的软件支出。 · 客户爬坡曲线是净值，Y4 之前没有做队列层面的流失建模，因此流失率的敏感性分析承担着真实的风险。 · Q4Y3 转正的 EBITDA，依赖合作伙伴带来的需求和标准化部署；如果试点仍然偏定制化，CAC 和毛利率很可能会同时恶化。

• 集成碎片化. Langflow、Flowise、自定义 Python 运行器和 MCP 服务器暴露凭证的方式各不相同，可能拖慢产品覆盖的速度。 缓解措施: 先做 Langflow 和 Flowise，配一个不依赖具体框架的凭证代理 sidecar，等代理在早期部署中站稳脚跟，再加更深的适配器。
• 误报式遏制. 过于激进的熔断机制可能误停正常的生产自动化，让工程团队不再信任这款产品。 缓解措施: 先以观察模式起步，学习每条流程的行为基线，让客户按策略自行选择二次审批、暂停还是熔断。
• 现有厂商捆绑. 一旦这个切口被看见，密钥库、云 IAM 或智能体安全厂商都可能加上基础的短期令牌功能。 缓解措施: 靠对流程拓扑的感知能力、运行途中的熔断开关，以及跨客户执行数据集来做差异化，同时与存储和检测领域的现有厂商结盟。