图片来源@pixabay

5月，宣布完成新一轮10亿美元融资，估值达到120亿美元；6月，拒绝谷歌230亿美金的收购邀约……Wiz一时风头无两。这家公司被称为历史上增长最快的SaaS软件公司，近期，其创始人出面解释了拒绝这笔收购邀约的原因，表示公司有更大成长空间。但人们对背后原因仍有诸多猜忌。

但积极的融资、高额并购信号并不代表全部，行业释放了各种截然相反的信号：裁员、并购受阻、网络风险不断……Palo Alto Networks创始人给出了“消费疲软”的预警，安全行业巨头Lacework尽管在此前融资不断，却也陷入低价收购的传闻，风投机构脚步也在放缓，一些公司估值并不如预期……

同时，如何应对日益爆发的AI安全威胁，安全厂商们也都在探索阶段。

复杂的环境下，云安全市场命运几何？

估值过高，市场下行压力增大

Wiz是云安全细分领域的初创公司，尽管成立只有四年，但已经筹集了19亿美元风险投资，包括今年来自Andreessen Horowitz、Lightspeed Venture Partners和Thrive Capital等顶级风投领投的10亿美元。

如此高的融资和估值是有原因的。据Wiz年报，其年收入超过3.5亿美金，ARR（年经常性收入）达到5亿美金，并且早在成立之初的18个月就实现了1亿美元ARR，成为历史上增长最快的SaaS软件公司。其投资方之一的指数风险投资（Index Ventures）曾有投资人表示，通常而言，初创公司都需要经过35至40个月才能实现200万美元年收入。

另外，Wiz的四位创始人也是连续创业者，最早他们都是前Talpiot军校学员，一所隶属于以色列国防总参谋部的精英军校，后又相继在以色列军队精英情报部门8200部队共事。随后他们共同创立云安全公司Adallom，在2015年以3.2亿美元被微软收购，同一团队还领导了微软Azure云安全部门。

“但是，这也太奇怪了。”一位行业人士谈起今年Wiz的此笔融资交易发出感慨。

在他看来，“奇怪”源自此次融资的时机。首先是与当下风投融资能力差及估值不高的宏观趋势背道而驰。其次，许多初创公司在裁员或缩减开支，与Wiz对外宣传的市场前景不符。此外，环顾周围竞争对手，除了Lacework融资不利外，Wiz还与Orca Security打官司，后者起诉Wiz窃取了其知识产权。这些问题都不见得会短期内解决。

而到今年6月，Wiz拒绝了谷歌230亿美金的收购邀约，也让外界充满好奇。

Wiz公司CEO Assaf Rappaport不久前解释拒绝这笔收购邀约的原因。他表示，公司其实可以继续发展壮大，达到1000亿美元市值，因为云安全代表着未来。

他还承认，Wiz当时还收到了其他公司的收购报价，但金额都没有谷歌的高。“作为一家创企，我们已经打破一些记录，我们相信，独立上市后，我们也能打破更多记录。”该公司希望在2025年实现10亿美金年经常性收入，这是预期上市前的一个关键要素。

事实上，在该收购邀约失败曝光前，就消息人士称，这次收购失败的概率有50%，因为从一开始就存在诸多障碍。

Constellation Research分析师认为有三点：一是如上所述的Wiz希望在IPO之前希望货比三家，它相信自己值得更多。二是谷歌在尽职调查中发现了一些不符合预期的事情。三是有可能实际收购价格并没有230亿美元。

从长远来看，当风险投资环境处于低迷状态时，一家初创公司以如此高的估值筹集到这么多资金，成功退出的门槛自然就提高了。为此，Wiz必须以120亿美元或更高的估值出售或上市，才能证明这笔交易是成功的。

过去十多年，由于全球长期低利率刺激手段，风投行业经历了大规模的资金流动和高估值的神话时代。而今，利率现已回到长期平均水平，这对私募股权投资产生了直接影响。这导致随着资本成本的上升，风险投资、长期投资的吸引力下降，投资规模其实是在变少的。

贝恩报告指出，2023年四季度风险投资基金与上一年同期下降了15%，这是自2020年以来的最低水平。另外，PitchBook数据显示，依靠早期风险投资的公司估值一直在下降。降价融资，即公司估值低于上一轮融资时的估值，这种情况在近来攀升至10年来的最高水平。

一些知名风投已经在强调这一趋势变化。标杆资本Benchmark的Bill Gurley、阿尔米特资本Altimeter的Brad Gerstner，以及基金公司Lux Capital的Josh Wolfe反复在公开场合强调：“风投投资速度已在放缓。”

鏖战云安全

从供需发展来看这件事情，还能发现更多端倪。

麦肯锡最新报告指出，全球组织在网络安全领域的支出高达200亿美元，但收效甚微。随着威胁事件的持续增加，麦肯锡预计到2025年的网络安全造成的损失将达到20万亿美元。

为何威胁事件会不断增加？一个关键因素是联网设备和云服务的指数级增长。runZero的最新研究报告《网络资产攻击面管理(CAASM)》揭示了由于IT和OT融合导致受攻击面不断扩大，从而推动高价值技术资产目标的扩大。

从另一个角度讲，面对日益复杂的IT资产管理，全球企业也需要更加整合的平台和集成应用，因为过多的网络安全工具也为其带来了认知成本。企业客户需要一种更经济的方式来对抗安全威胁。

分析Wiz自身的发展历程，也可以发现一些问题。

尽管Wiz的创始团队和核心层相对稳固，但除此之外的其他高管流动性仍非常高。比如现如今作为首席营销官兼产品战略副总裁Raaz Herzberg，其实并没有任何营销经验，而在此之前已经连续三年调任三次。而前任首席营销官是Okta的行业资深人士，只干了九个月。另一位首席客户官任职两周就辞职。此外，Wiz还缺乏财务关键负责人。

在招聘网站Glassdoor上，几名匿名员工发帖称，他们只希望能干满一年，因为这是大多数初创公司兑现期权的必要条件。

Wiz面临的市场竞争压力也同样不小。此前业内人士也声称Wiz的销售人员为达到业绩目的，不惜诋毁竞争对手Orca。Orca随后也将Wiz告上法庭，称其专利侵权。

另外，Wiz还被曝光通过将包括Cyberstarts等风投公司与一些大客户的首席安全官绑定，并声称其享受了内部折扣价，从而借此Wiz有了抬高价格的借口。为此，就连同样是8200部队退役人员出身创业的Team8也承认，Wiz的竞争文化非常浓烈，“他们往往表现得非常激进，急于求成，但不是每个人都喜欢这种方式。”

另一方面，细看Wiz所在云原生应用保护平台（CNAPP）赛道中，不少同行也同样遇到了发展瓶颈。

2月，Palo Alto宣布转型“平台化”，即整合产品组合，采取更多的产品捆绑和折扣策略，随后Palo Alto下调了年度收入预期。此举一出，该公司股价应声大跌。

起初Palo Alto专注于“下一代防火墙(NGFW)”，为企业提供基本网络安全网关，抢占了不少市场份额，与Check Point、Fortinet、思科和瞻博网络等头部企业竞争。随后，Palo Alto推出了零信任网络访问(ZTNA)、云原生应用程序保护(CNAP)、云安全态势管理(CSPM)等不少网络安全产品组合。Palo Alto的问题在于，网络安全市场正在迅速变化，防火墙其实更适用于传统的IT基础设施，在云端则并不适用。而Fortinet此前业绩已经出现疲软。

值得注意的是，一家估值曾高达83亿美元的独角兽企业Lacework，2021年曾拿到13亿美元单轮融资额，如今估值缩水98%。追溯其失利的根源，还在于其为了优化公司资产表，采取了激进的大规模裁员策略，仅在2022年6月就裁减了20%的员工。此举随后引发了严重的人事动荡，管理层人员频繁离职。4月，Lacework被曝与Wiz洽谈收购事宜，传出的收购价格仅为1.5亿至2亿美元。而上述提及的Fortinet为了强化自身业务布局在6月同意收购陷入困境的Lacework。

Aqua SecurityAqua完成6000万美元E轮融资、估值超过10亿美元六个月之后，也在今年开启了自2022年以来的第二轮裁员。

Orca于1月裁掉了15%的员工。

7月，CrowdStrike分发异常更新导致了微软蓝屏事件，后续还将面临巨额赔偿。

市场上存在多种主流的CNAPP（云原生应用保护平台）解决方案，如Palo Alto Networks Prisma Cloud、Check Point CloudGuard、Lacework、CrowdStrike Falcon Cloud Security、Cyscale和微软云等。这些解决方案各具特色，能够为用户提供全面的云安全态势管理功能。

Forrester在一份报告中曾评价Lacework与Wiz的差异：在技术上，Wiz采用无代理；Lacework采用的基于代理的安全保护，导致其客户用量不高。客户规模上，Wiz主要服务大客户群，而Lacework目前的600多家客户多为中小型企业。

1月，Wiz在云工作负载防御方面获得了Forrester最高的“当前产品”排名，Forrester称赞了该公司的无代理云工作负载保护、合规模板映射、CIEM和容器编排器保护。

但薄弱的云工作负载安全策略意味着Wiz的总分排在CrowdStrike、Palo Alto和微软之后，排在第四位，Forrester指责Wiz在基于代理的云工作负载保护采用以及管理员用户身份和访问管理报告和审计方面落后。

目前，市面上的独立云安全供应商除了Wiz之外，就还有Sysdig、Orca Security和Aqua Security三家了，其市值分别仅为25亿美元、18亿美元和10亿美元。

这个赛道曾吸引大量热钱涌入，但近年来一些估值虚高的公司却因增长乏力难以证明这些数字的合理性。云安全公司最有可能的退出方式变成了出售给金融或战略买家。

AI网络安全威胁全面爆发

最近，有报道称国内某大厂被实习生向大模型投毒，该事件引发轩然大波。模型投毒，即攻击者在获得训练数据的访问权限后，用恶意数据对其进行毒害，以更改模型的输出结果。尽管针对此案，在法律层面仍有诸多疑问需要解答，但从AI安全的角度，也为企业敲响了警钟。

“这不是一个极端事件。近来安全事件暴露出的是国内企业普遍存在的安全管理隐患。一是缺乏技能培训，导致企业无法跟上不断变化的安全威胁，也没有充分的补救措施；二是云资产的可见性，包括从API安全漏洞和配置错误到访问管理和工具部署；三是对于云安全项目的预算资金往往不足。”一位企业云安全从业者告诉钛媒体。

微软AI研究人员意外通过GitHub泄露了38TB的数据，其中包括敏感数据如机密、私钥和密码。并且，此次规模庞大的数据泄露早在2020年7月就存在了，但直至今年9月该AI模型的数据泄露案件才被披露出来。

Wiz研究团队指出，目前超过70%的云环境已经在使用AI，引入AI无疑会增加云上安全风险。问题是许多企业并没有在使用制定适当保护措施的情况下就接受了新技术。

Wiz提出“影子AI”概念。据解释，这一问题往往出现在团队应用AI早期，未经授权使用或实施人工智能，不受组织IT部门控制或不为组织IT部门所知。这意味着许多企业声称AI应用渗透率的同时，却并未关注到这些应用是否受到安全机制的保护。那么，可见性同样是安全使用AI的关键因素，不依赖于算法人员和数据科学家所做的标记，而是能够实时监测到端到端AI技术栈。

随着云应用和迁移数量的增加，目前企业逐渐形成在云上管理人工智能的安全开发和部署策略，包括加强数据治理和验证，对模型进行加密和访问控制，或者在可信计算环境中运行AI模型等方式。

奇安信集团产品总体部专家注意到，在今年的RSAC大会上，多数安全产品都加持了AI技术，从代码检测、数据分级分类、威胁检测、行为分析等检测技术到威胁告警分析研判和自动化处置都体现了AI+的融入。在他看来，AI改变网络安全巨大潜力，这些能力将推动平台化、自动化、云原生等需求的落地。

例如，Palo Alto宣布推出Precision AI，这是一款结合了机器学习、深度学习和生成式人工智能的网络安全系统，它基于网络、云和端点安全产品组合，并利用数据为企业提供自动威胁预防和简化的安全操作。

云安全市场期望值下降、竞争愈发激烈的另一面，则是日益扩大的网络安全风险。（本文首发于钛媒体APP，作者 | 杨丽，编辑 | 盖虹达）