大讲堂
某头部新能源车企的核心供应商网络安全准入标，原来单家供应商一年的安全服务预算是120万，现在直接压到45万。要求必须包含3轮全流程红队演练，附完整漏洞整改清单。
被标底硬压出来的红队需求
价格砍得狠。
2023年的时候，国内市场上给中型制造企业做一次全流程红队演练，单次要价就在30-50万，还不包含后续的漏洞整改人天成本。现在45万要包一整年的服务，算下来平均人天成本不到800块，比国内普通高校计算机系应届生的实习日薪高不了多少。
谁在买单？
根本不是企业IT部的预算，是供应链合规岗的刚性支出。2025年出台的汽车数据安全细则写得明明白白，核心零部件供应商如果每半年拿不出第三方红队渗透验证报告，直接踢出合格供应商名录。没人敢不接这个标。
谁在扩产抢单？
原来接车间监控、弱电布线的本地集成商。这两年弱电项目的毛利已经从30%跌到8%，算上垫资的资金成本，基本不赚钱。红队演练的服务包毛利还有18%，哪怕压价压到45万，也比蹲在车间里拉网线划算。
谁在库存里挣扎？
那些前两年砸了大价钱建工业实景靶场的头部安全厂商。之前单靶场建设成本就超过2000万，本来想靠“真实工业场景渗透”的概念卖高价服务，结果现在招投标的评分标准里，根本不看你用的是实景靶场还是开源模拟器，只看你能不能在规定时间里出报告。现在这些靶场的实际利用率不到15%，相当于在一线城市核心商圈开了一家1000平的高端健身会所，靠15%的到店率算，回本周期要拉长到17年以上。空转的折旧，全是实打实的现金流窟窿。
红队圈的卷 根本不是技术卷
深圳宝安那家做了7年工业控制系统安全的厂商，2024年还靠给大型化工企业做深度红队演练拿千万级订单，2025年下半年开始突然接不到单。
不是技术不行。是他们的演练太较真，去年在给一家焊接车间做渗透的时候，不小心碰停了一条机器人生产线，赔了12万的产能损失。从那之后，客户都怕找他们做——真要是渗透过程中碰停了价值几千万的整车生产线，谁都担不起这个责任。
现在中标的本地集成商，流程早就摸得门清：渗透范围严格卡在企业提前划的“安全缓冲区”里，扫一遍公网资产，发100封钓鱼邮件，找3个常见的Web漏洞，2周交报告。绝对不碰生产网的OT侧，绝对不碰跨网的供应链链路，连测试用的工具都选那种不会占带宽、不会触发设备告警的轻量软件。
几个大的整车厂联合出的红队演练评分标准，更有意思。原来的标准里，OT侧生产网的渗透测试占40%的评分权重，现在直接把这部分要求删掉，换成了“报告提交时效”“漏洞响应速度”这些好量化、好验收的指标。
说白了，现在的红队演练，已经像养殖场的肉鸡打疫苗——不管你鸡的实际抗体水平够不够，只要你有那个盖了章的疫苗接种记录，能过畜牧站的检查就行。
那些原来靠写0day、逆向工控协议吃饭的资深红队研究员呢？要么降维去接政府的靶场运营项目，要么就给这些中标的集成商当外包。一个高危漏洞给500块，比原来的项目报价低了一个数量级。有个之前在头部安全公司做了6年红队的老哥跟我吐槽，现在接的外包单，跟做流水线质检没区别——对着扫描器扫出来的结果抄报告，根本不需要动脑子。
红队的饭碗 正在被流程拆碎
之前红队岗位的招聘要求是什么？会逆向工控协议，能独立挖掘0day漏洞，能模拟真实黑客的供应链攻击路径。现在本地集成商招红队岗位的要求，写在招聘启事上的是：会用主流扫描工具，能按照模板写渗透报告，能按规定时间完成交付。薪资从原来的40万一年，直接跌到18万。
卷不动。
真按原来的标准做深度红队演练，要碰生产网，要找真实攻击面，项目交付周期至少要2个月，成本要涨3倍。客户根本不愿意掏这个钱。客户要的从来不是真的能防住黑客，是要那个能过合规检查的红队报告——就像你交社保，不是为了真的老了能领多少养老金，是为了买房的时候能拿出那个缴费证明。
之前有个做集成商的老板算过一笔账：如果真的按深度演练的标准做，项目的交付风险太高，万一碰停了生产线，赔的钱可能比整个项目的利润还高。不如就按流程走，反正报告写得好看，评分点全踩中，客户验收的时候也不会真的去测你有没有覆盖生产网。
标准联盟也在顺着这个逻辑往下走。反正现在所有的供应商都在做纸面演练，那就把标准定得更偏向流程合规，不要要求那些有风险的测试环节。大家都舒服，都能过审，都能拿到标。
等哪天有个真的黑客顺着供应链的跨网链路摸进生产网，把整条价值几个亿的生产线停了的时候，那些现在忙着把红队演练打包成低价服务的集成商，还有那些把OT测试从评分项里删掉的整车厂，谁来掏那笔损失？
作者|fawen
排版|fawen
审核|白杨