大模型补贴潮里的拦路虎
2026年开春，我跟深圳几个AI创业者喝茶，聊到最头疼的事，没人说GPU涨价，没人说大模型训练成本高，所有人异口同声骂等保测评。
去年底深圳南山区公示的大模型专项创业补贴名单里，12家进入终审的初创，足足有7家因为拿不出等保三级资质证明，直接被取消了最高500万的补贴资格。
换你你懵不懵？
一个10人规模，做垂直领域政务大模型的初创创始人跟我算帐：拿到等保三级资质，测评服务费最少要6万，加上整改买设备补漏洞，前前后后最少掏18万。18万什么概念？相当于他们三个初级算法工程师半个月的工资，相当于小半年的办公室房租。
他们公司上个月才刚凑完第一笔天使轮，钱全砸在训练数据和GPU租金上，连创始人自己都半年没拿 full salary，让他一下子掏出十几万买一张合规纸？
说实话，太扯了。很多人现在说AI创业卡脖子在算力，卡脖子在数据，谁能想到最后卡你拿救命钱的，是一张你根本不知道有多大用的资质证明。
更有意思的是，你掏了钱也不一定能快点拿证。一线城市的大测评机构排单都排到三个月后，你急着拿补贴？加钱可以走绿色通道，加两万，一个月出报告。
这不就是明摆着加价插队吗？
蛋糕怎么分出来的
不过话说回来，等保测评这套玩法，从来就不是今天才变味的。
我查过公开数据，2025年国内等保测评整体市场规模已经摸到160亿，而且每年还在以超过20%的速度涨。这个盘子里赚得最爽的，根本不是做技术的，是拿了牌照的。
杭州某头部网安上市企业，旗下有个拿了全资质的测评子公司，2025年测评业务营收12亿，净利润率超过45%。这个数字是什么概念？比这家企业做硬件安全的主业利润率，高出了整整28个百分点，赚得比卖设备多一倍还多。
本质上，现在的等保测评商业模式，跟古代的盐引制度没区别。朝廷发了盐引的商人才能卖盐，不管你盐的质量好不好，没拿到资质，你技术再好也别想进场。这个逻辑放在今天就是：全国一共也就不到200家能做一到三级等保测评的正规机构，牌照不放开，拿到的人就能躺着分蛋糕。
我之前接触过江苏苏州一个做跨境电商的中小企业，自己搭了用户数据平台，要过三级等保。测评机构上门扫了一次，说他现有防火墙不符合要求，必须换某品牌的新品，不然不给过。巧的是，那个测评机构的母公司，刚好就是那个防火墙品牌的参股方。最后老板没办法，只能把刚用了两年，完全满足防护需求的旧防火墙换掉，前前后后测评加换设备花了快30万。
既当裁判又当运动员，这生意能不赚钱吗？
很多小机构想进场做测评，价格比头部机构便宜三分之一，做事也更认真，但是拿不到资质，根本没法接活。市面上现在大部分测评项目，都是老机构靠着资质门槛垄断，很多测评师都是刚毕业不到一年的小孩，拿着模板套数据，扫个漏洞填个报告，收了钱就给过，真要出了问题，一推三六五。
你说这是技术服务？我看就是牌照租赁生意。很多人说等保是为了网络安全，结果现在安全不安全另说，钱先赚得盆满钵满。
从业者兜里的钱被谁掏走了
这套玩法走到今天，最难受的永远是产业链最底层的普通从业者和中小创业者。
现在经济环境不好，创业公司找钱本来就难，每一分钱都是要烧在产品上的。结果平白无故掏出十几万甚至几十万买一张合规纸，很多本来能熬到盈利的小公司，掏完这笔钱直接现金流断裂，关门大吉。去年我知道的北京三个做企业服务的初创，都是死在了拿资质这一步，不是产品不行，是真的掏不出这笔合规钱。
对正经做网安技术的公司来说，这也是劣币驱逐良币。整个行业现在比的不是谁测评更认真，谁能真的帮企业堵住漏洞，比的是谁拿资质早，谁的地方关系硬，谁能靠绑定硬件赚更多钱。真正想做好测评服务的小团队，拿不到资质进不来，只能给大机构做外包，赚点辛苦钱，大头全被持牌机构拿走了。
对普通用户更不用说了，本来等保的初衷是保护大家的数据安全，结果现在变成了企业的合规护身符，哪怕你过了最高等级的等保，该泄露还是泄露，去年某上市连锁酒店集团，过了三级等保不到一年，就爆出几十万用户身份信息泄露的新闻，最后找测评机构，人家说我只负责给你出报告，不负责你事后安全。
所有人都在围着这个牌照蛋糕转，没人真的关心为什么要做等保，没人关心安全到底有没有做到位。大家心照不宣，你给我钱，我给你证，皆大欢喜，最后风险全留在那，等着哪天炸出来。
下一个干掉现有等保测评生意的，不会是更资深的持牌机构，只会是能自动完成全流程测评的AI工具——你信吗？
