Forrester 正式发布《The Web Application Protection Platforms Landscape, Q3 2026》报告，阿里云凭借 Web 应用防火墙（WAF）及一体化 Web 应用保护平台（WAPP）能力，作为代表厂商（Notable Vendor）入选。
传统 WAF 已不足以覆盖当前的应用攻击面已成为行业共识。Forrester 将 Web 应用保护平台定义为统一、集成的平台--审查 Web 应用、移动应用和 API 的输入与响应，按既定策略过滤应用流量；检测并阻断应用攻击、容量型攻击、业务逻辑攻击和 AI 攻击；并基于攻击特征、协议标准与异常检测推荐和执行安全策略。在 WAF 核心之外，平台还整合 Bot 管理、API 安全与客户端保护，并以 L7 DDoS 防护、AI 运行时安全等作为扩展能力。
研究同时指出市场的三项基本要求：AI 已成为基本能力--它既是潜在攻击面（如提示词注入）、潜在攻击工具、入站流量特征（Agentic 流量），也是攻击检测的手段；自动化成为不可妥协的刚需，前沿模型正在压缩从漏洞发现到被利用的时间窗口；安全团队深受工具蔓延、误报与告警疲劳困扰，亟需能自动化完成发现、策略管理与响应的平台。
阿里云 WAF 已演进为这样的一体化平台，覆盖报告识别的核心用例--Web 应用保护、API 保护、Bot 管理、合规与零日攻击检测，并延伸至扩展用例。在报告的厂商聚焦表中，阿里云将 AI 攻击防护、运行时应用保护与移动应用保护列为重点扩展方向。
产品层面，阿里云 WAF 以安全大模型多维度分析 Payload 并自动下发白名单，针对零日攻击提供实时虚拟补丁；API 安全自动学习 API 结构并实现敏感数据实时脱敏；Bot 管理引入工作流学习与图模型分析识别路径异常与同源团伙；客户端与 L7 DDoS 防护已在生产环境经百万级 QPS 验证；并原生集成阿里云服务，支持混合云与多云统一管控。2026 年，阿里云进一步发布面向 Agentic 时代的能力：安全运营 Agent 将规则调优从天级缩短至分钟级，Agentic API 安全、Agentic Bot 管理，以及原生集成 AI 安全护栏、面向 LLM 流量的 AI 应用防护。
未来行业方向已被清晰勾勒：Web 应用保护已从“以 WAF 为核心的合规工具”发展为“融合 Bot 管理、API 安全与 AI 攻击防护的一体化平台”，AI 与自动化不再是加分项，而是基本能力。阿里云将持续构建面向 Agentic 时代、可演进可运营的应用安全底座。
来源
Forrester The Web Application Protection Platforms Landscape, Q3 2026
免责声明
Forrester does not endorse any company, product, brand, or service included in its research publications and does not advise any person to select the products or services of any company or brand based on the ratings included in such publications. Information is based on the best available resources. Opinions reflect judgment at the time and are subject to change. This report is part of a broader collection of Forrester resources, including interactive models, frameworks, tools, data, and access to analyst guidance. For more information, read about Forrester’s objectivity here.
