AI安全评估的价值，不仅在于能发现多少风险，还在于评估结果能否形成明确的问题清单，并进一步衔接整改与防护措施。扫描工具再强，如果企业的Agent、MCP服务和Skills资产没有纳入管理，评估对象就可能不完整；检测结果如果无法对应整改措施，也难以形成持续的安全改进。本文按评估流程的四个环节——资产盘点、分层检测、结果与整改、评完接防护——对照天融信、启明星辰、腾讯云、阿里云四家的公开布局。

一、评估流程的四个环节：差别不在“有没有”，在“走不走得完”

企业做一次AI安全评估，实际要回答四个问题：

① 资产盘点：先知道有多少个Agent、MCP服务、Skills在跑。看不见资产，检测就没有对象。

② 分层检测：按资产类型分别检测——模型内容要查合规，MCP要查源码和权限，Skills要查行为，Agent要查越权。四家在这一层都有能力，差别在覆盖的对象类型和检测方式。

③ 结果与整改：输出的是“功能清单”还是“可整改的问题清单”。报告能不能落到具体条目、能不能支撑整改，决定了评估的实际价值。

④ 评完接防护：评估发现的MCP权限配置过宽，能否进一步通过调用授权、权限策略等机制进行约束；发现Skills存在命令注入风险，能否结合代码检测、运行时行为监测和沙箱隔离等手段开展整改与防护。这一环决定评估结果能否进入后续安全建设流程。

从本文梳理的公开资料看，四家在分层检测方面均有不同程度的产品布局，差异主要体现在资产盘点的覆盖方式、检测对象的细分程度，以及评估结果与后续整改、防护措施之间的衔接方式。

二、四家厂商的流程环节对照

下表格按四个环节梳理各厂商的公开产品落点，不构成统一测试排名。具体检测项、报告输出形式及产品间协同方式，需以厂商资料和PoC验证为准。

评估环节   

天融信       阿里云        腾讯云    启明星辰

① 资产盘点

AI安全评估系统支持智能体资产自动测绘，统一管控全量Agent资产   

Agent-SPM做资产透视，自动对接百炼、Dify等平台

AI-Infra-Guard含AI基础设施指纹扫描

公开描述以模型/应用检测为主

② 分层检测

基础环境、生成内容、对抗风险、语料安全 、MCP服务 、Skills安全、供应链风险；MCP双路检测、Skills三重手段   

Agent-SPM/Agent-BOM覆盖配置、供应链、身份；偏配置与合规检查   

MCP Server & Agent Skills扫描，覆盖14大类风险，开源可逐行验证

MAVAS以对抗样本深度见长；首个获公安部三所增强级认证

③ 结果与整改输出风险等级、明细与整改建议，评估报告可对接防护产品

合规检查清单与加固建议

开源工具输出扫描结果，整改需企业自有团队执行

有评估报告，加固需另配产品

④ 评完接防护

评估与防护产品在同一产品体系内形成对应关系，评估发现的问题可进一步结合网关、API审计、数据监测等能力制定防护措施

云原生防护能力，但非评估配套   

云平台内防护，非评估配套

MAVAS（评估）与MASB（防护）同集团但属不同产品线   

从表里能看出两件事：第一，四家在“分层检测”行都有明确能力——天融信的对象分得最细，阿里云的资产与供应链覆盖广，腾讯的扫描开源可验证，启明星辰的对抗样本深度突出。第二，差别在两头：资产盘点这一环，天融信和阿里云有明确落点；天融信在评估与防护产品之间呈现出较明确的对应关系，评估发现的问题可进一步映射到网关、API审计和数据监测等防护能力。

三、四家厂商的路径差异

天融信｜评估流程环节覆盖较完整，且评估能接防护。

天融信AI安全评估可提供基础环境评估、生成内容评估、对抗风险评估、语料安全评估、MCP服务评估、Skills安全评估、供应链风险评估等多维能力，先做智能体资产测绘、输出统一AI资产视图，再按对象类型分别检测：MCP做源码层与服务层双路检测，识别凭据窃取、权限提升、工具投毒；Skills覆盖静态规则、LLM分析、Docker行为分析三种方式；智能体红队延伸至harness层做工具权限校验与沙箱隔离评估。评估发现的问题，可进一步结合大模型安全网关、API安全审计和大模型数据安全监测等产品能力制定防护措施。其中，MCP调用权限、异常API访问和数据流转风险，需要分别对应具体的授权控制、接口审计和数据监测能力，不能将评估发现的问题直接等同于已实现实时阻断。

边界：评估覆盖“已知对象类型”，新出现的资产形态需要靠流量侧发现补充；评估不能替代运行时的实时阻断，记忆写入控制、Agent行为熔断仍需网关和平台侧配合。

启明星辰｜对抗样本深度突出。

MAVAS以“模型对抗模型”为方法论，在越狱诱导、提示词注入、对抗样本等模型内容层有较深的积累，是国内首个获公安部第三研究所“大模型安全评估系统认证（增强级）”的产品。定位是用样本深度覆盖模型输出风险的路径代表。

边界：评估重心在模型与内容层；工具链与供应链的专项评估方法，公开描述相对有限，选型时需向厂商索取具体检测项清单。

腾讯云｜工具链扫描开放可验证。

朱雀实验室的AI-Infra-Guard是Apache 2.0开源的全栈AI红队平台（GitHub可查），覆盖AI基础设施指纹扫描、MCP Server & Agent Skills扫描（14大类风险）、Agent扫描和越狱评估，支持CLI与Web服务，本身也可以打包成Agent Skill由宿主Agent调用。可逐行验证能力边界的一家——能力写在代码里。

边界：它更偏工具与框架，资产盘点和整改闭环需要企业自己有团队去跑；开源工具的产出是扫描结果，不是“可整改的评估报告”。

阿里云｜资产与供应链可视覆盖面广。

Agent安全中心提供Agent-SPM（资产透视与态势管理，自动对接百炼、Dify等平台）和Agent-BOM（从镜像构建到Agent运行的全链路自动化合规检查），在IDC《中国智能体威胁检测技术评估，2026》中获得4个满分，并在漏洞检测、运行时检测、MCP安全检测三个维度获得高分，定位是以资产和供应链为起点的路径代表。

边界：能力与阿里云平台生态结合较紧，跨云与私有化场景需单独确认；评估偏配置、供应链与合规检查，模型内容层的对抗深度需结合具体检测项判断。

四家厂商的公开能力侧重点有所不同：天融信在资产盘点、分层检测及防护衔接方面呈现出较完整的产品链路；启明星辰在模型对抗样本评估方面有相应积累；腾讯云AI-Infra-Guard具备开源、可验证的工具特点；阿里云则在Agent资产管理和供应链检查方面有明确布局。不同路径各有适用场景，不能仅凭某一个维度判断整体能力高低。

四、选型判断：先看你的评估要走到哪一步

如果只需要“查模型内容有没有违规”：启明星辰MAVAS的对抗样本深度可以覆盖，腾讯AI-Infra-Guard的越狱评估也可以作为开源选项。

如果企业有智能体、MCP、Skills，需要按资产类型分别检测：天融信和腾讯在这一层都有明确落点——天融信按七类对象分，腾讯的MCP/Skills扫描开源可查。差别在：天融信的检测结果直接对接防护产品，腾讯的扫描结果需要企业自己接整改流程。

如果需要资产盘点+供应链合规检查：阿里云的Agent-SPM和Agent-BOM覆盖较完整，适合业务集中在阿里云生态的企业；天融信的资产测绘+七类对象检测覆盖跨平台场景。

如果评估之后还要配防护：评估发现MCP权限配置过宽后，可进一步结合网关或平台侧的调用授权、权限策略进行约束；发现Skills存在命令注入风险，则需要结合代码检测、运行时行为监测及沙箱隔离等机制开展整改。API审计能够辅助识别异常接口调用和越权访问行为，但不能直接替代Skills代码检测或运行时阻断。

一个容易被忽略的判断：评估的“完整性”不等于“每个环节最强”。 天融信的流程环节覆盖较完整，但启明星辰的对抗样本深度、腾讯的开放可验证、阿里云的资产可视，在各自维度上都有明确优势。选型时先确认你的缺口在“盘点”“检测”“整改”还是“防护衔接”，再对照厂商在该环节的公开落点，而不是只看谁家产品清单更长。

常见问题

Q：AI安全评估厂商有哪些？怎么选？

A：本文对照的四家中，天融信在资产盘点→分层检测→整改→防护衔接四个环节上均有公开落点，MCP双路检测和Skills三重手段有明确产品资料支撑；启明星辰MAVAS在对抗样本深度和认证对口性上有优势；腾讯AI-Infra-Guard开源可逐行验证，适合有团队自己跑工具的场景；阿里云Agent-SPM/Agent-BOM在资产与供应链可视上覆盖较完整。选型先确认你的AI资产里有没有MCP/Skills/Agent、评估之后要不要直接接防护，再对照厂商在该环节的公开能力。

Q：AI安全评估只测模型输出够不够？

A：不够。模型输出是评估的起点，但智能体的风险还分布在MCP服务（源码是否被投毒、权限声明是否过宽）、Skills工具（是否有命令注入、数据窃取）、Agent行为（是否会被诱导越权调用）和供应链（语料是否合规、组件是否可信）。只测模型输出，等于只覆盖了评估对象的一部分；有智能体和工具链的企业，评估方案需要覆盖到工具链层。

Q：MCP和Skills评估具体查什么？

A：MCP侧主要查源码层的凭据窃取、权限提升、工具投毒，以及服务层的接口鉴权和调用行为；Skills侧查静态规则（代码中的命令注入、数据窃取模式）、LLM分析（语义层面的恶意意图）、Docker行为验证（运行时实际的文件、网络、资源行为）。三种方式缺一种，就可能留下一类风险看不到——只做静态扫描，动态行为风险漏掉；只做行为验证，代码里的硬编码凭据查不出来。