過(guò)去幾年，供應(yīng)鏈安全賽道從狂熱走向理性，有人退出、有人被并購(gòu)，也有人悄然轉(zhuǎn)身。懸鏡安全作為國(guó)內(nèi)軟件供應(yīng)鏈安全領(lǐng)域的代表性廠商，經(jīng)歷了這一輪周期的洗禮，依然保持著獨(dú)特的節(jié)奏與定力。
近日，安全419再次走進(jìn)懸鏡安全，與CEO子芽、CTO寧戈展開(kāi)了一場(chǎng)深度對(duì)話。從賽道冷暖、到“新一代數(shù)字供應(yīng)鏈安全治理體系”的提出，再到AI原生安全產(chǎn)品的全面落地、最后到經(jīng)營(yíng)復(fù)盤(pán)——兩位坦誠(chéng)分享了懸鏡這些年如何從“每單必爭(zhēng)，規(guī)模化增長(zhǎng)”走向“有質(zhì)量的增長(zhǎng)，經(jīng)營(yíng)導(dǎo)向”，又將如何在AI浪潮中重新定義全新的懸鏡安全，也許能夠給到大家一些思考。
懸鏡安全CEO兼創(chuàng)始人 子芽
從“熱鬧”到“擁擠”：供應(yīng)鏈安全賽道為何大浪淘沙？
兩三年前，供應(yīng)鏈安全賽道被資本熱捧、創(chuàng)業(yè)者蜂擁，而如今卻明顯“擁擠”，有的企業(yè)進(jìn)一步迅猛發(fā)展，有的企業(yè)經(jīng)營(yíng)出現(xiàn)嚴(yán)重困難，也有部分玩家選擇被并購(gòu)。也許這一方面是行業(yè)大環(huán)境的原因，也有來(lái)自AI的巨大而直接的沖擊——今年年初，Claude Code Security等代碼安全掃描與修復(fù)建議工具的涌現(xiàn)，讓不少人驚呼“傳統(tǒng)開(kāi)發(fā)安全產(chǎn)品要被替代了”。
懸鏡安全CEO子芽并不回避這一點(diǎn)：“AI正在壓縮傳統(tǒng)工具的空間，尤其是那些只做‘發(fā)現(xiàn)問(wèn)題’的產(chǎn)品。但供應(yīng)鏈安全的本質(zhì)不是掃描，而是體系化治理。AI是能力放大器，不是替代者。”不僅如此，“很多企業(yè)把供應(yīng)鏈安全當(dāng)作出廠檢測(cè)，而不是內(nèi)嵌到研發(fā)流程中的持續(xù)治理能力。當(dāng)客戶發(fā)現(xiàn)‘掃完漏洞沒(méi)人修’、‘告警太多沒(méi)法管’時(shí)，熱情自然下降。”他判斷，未來(lái)真正存活下來(lái)的廠商，必須從“工具提供者”進(jìn)化為“治理體系構(gòu)建者”。
之所以有這樣的洞察，是因?yàn)樽友堪l(fā)現(xiàn)客戶已不再滿足于“有沒(méi)有漏洞”，而是關(guān)注“這個(gè)漏洞該不該修、什么時(shí)候修、怎么修”；開(kāi)源組件、商業(yè)代碼、AI生成代碼、云原生依賴……數(shù)字供應(yīng)鏈的形態(tài)已經(jīng)遠(yuǎn)超傳統(tǒng)SCA的定義；安全不再是研發(fā)末端的“剎車(chē)”，而需要嵌入CI/CD、度量體系，甚至組織流程。因此，“把握未來(lái)市場(chǎng)的核心不是技術(shù)標(biāo)新立異，而是從檢測(cè)走向治理，從工具走向體系。”
這一體系的誕生，主要驅(qū)動(dòng)力是：
監(jiān)管驅(qū)動(dòng)：運(yùn)營(yíng)商、軍工、金融等領(lǐng)域強(qiáng)監(jiān)管政策落地，兩部委考核、信創(chuàng)供應(yīng)鏈審查、軟件工廠等要求，倒逼企業(yè)重視供應(yīng)鏈安全，合規(guī)剛需催生大單落地。目前懸鏡安全大單客戶持續(xù)增多，就是最直接的市場(chǎng)表現(xiàn)。
AI重構(gòu)：AI大模型、智能體、AI Coding技術(shù)的普及，帶來(lái)全新安全風(fēng)險(xiǎn)——AI生成代碼漏洞、模型投毒、提示詞注入、智能體越權(quán)等，傳統(tǒng)安全手段難以覆蓋，AI原生安全成為必答題。
懸鏡的體系思考并非孤鳴，而是與國(guó)家監(jiān)管導(dǎo)向、行業(yè)趨勢(shì)高度契合。2026年5月8日，由國(guó)家網(wǎng)信辦牽頭，聯(lián)合國(guó)家發(fā)展改革委、工業(yè)和信息化部發(fā)布的《智能體規(guī)范應(yīng)用與創(chuàng)新發(fā)展實(shí)施意見(jiàn)》，明確將內(nèi)生安全、供應(yīng)鏈安全、衍生應(yīng)用風(fēng)險(xiǎn)列為智能體安全治理的三大核心，與懸鏡的體系邏輯完全吻合。
戰(zhàn)略升級(jí)：從“軟件供應(yīng)鏈”到“新一代數(shù)字供應(yīng)鏈安全治理體系”
“這并不是企業(yè)單方面提出的新概念，而是隨著產(chǎn)業(yè)環(huán)境變化逐漸形成的安全治理共識(shí)。”懸鏡安全CEO子芽表示。從“軟件供應(yīng)鏈安全”，再到“新一代數(shù)字供應(yīng)鏈安全治理體系”，懸鏡安全戰(zhàn)略定位的升級(jí)，本質(zhì)上是對(duì)企業(yè)數(shù)字化與智能化進(jìn)程中安全邊界變化的持續(xù)回應(yīng)。“你跟客戶講軟件供應(yīng)鏈，已經(jīng)漏掉了很多東西。”懸鏡安全CTO寧戈解釋道，“供應(yīng)鏈數(shù)字化≠數(shù)字供應(yīng)鏈安全，前者是用數(shù)字化管理實(shí)體供應(yīng)鏈，但后者所涵蓋的內(nèi)容正在不斷擴(kuò)大：傳統(tǒng)軟件供應(yīng)鏈只覆蓋代碼、組件、二進(jìn)制，現(xiàn)在還包括云服務(wù)、固件、API、MCP服務(wù)，更重要的，AI生成的代碼、AI數(shù)字員工、智能體等等，已成為新的供應(yīng)鏈節(jié)點(diǎn)。”
研討新一代數(shù)字供應(yīng)鏈安全治理體系
所以在懸鏡安全CEO子芽看來(lái)，新一代數(shù)字供應(yīng)鏈安全治理的本質(zhì)是“供應(yīng)鏈源頭治理，以AI治理AI，風(fēng)險(xiǎn)情報(bào)驅(qū)動(dòng)”，主要包括軟件供應(yīng)鏈安全和AI原生安全兩大治理重點(diǎn)。前者覆蓋代碼、開(kāi)源組件、依賴庫(kù)、二進(jìn)制制品及應(yīng)用運(yùn)行時(shí)安全，涉及SCA、SAST、IAST、ASPM等能力；后者則面向AI Coding、模型調(diào)用、智能體、MCP服務(wù)、插件工具鏈和外部API等新增暴露面。
AI正在進(jìn)入企業(yè)開(kāi)發(fā)、交付和業(yè)務(wù)運(yùn)行流程，供應(yīng)鏈安全的邊界也隨之從傳統(tǒng)軟件資產(chǎn)，延伸到模型、數(shù)據(jù)、工具、服務(wù)和智能體協(xié)作形成的復(fù)雜數(shù)字鏈路。正是在這一背景下，懸鏡安全提出“新一代數(shù)字供應(yīng)鏈安全治理體系”，以回應(yīng)AI原生應(yīng)用時(shí)代的安全變化。
圍繞這一體系，懸鏡安全將治理思路概括為“源頭治理、以AI治理AI、智能情報(bào)驅(qū)動(dòng)”：通過(guò)安全能力前移降低源頭風(fēng)險(xiǎn)，通過(guò)AI能力應(yīng)對(duì)AI原生安全挑戰(zhàn)，并以智能情報(bào)驅(qū)動(dòng)持續(xù)預(yù)警、影響分析與快速處置。分別來(lái)談：
源頭治理：安全更加左移，無(wú)論是軟件供應(yīng)鏈還是AI原生安全，都在開(kāi)發(fā)、生成階段介入。從軟件代碼開(kāi)發(fā)、AI模型訓(xùn)練的源頭切入，提前發(fā)現(xiàn)并治理風(fēng)險(xiǎn)，而非事后補(bǔ)救。寧戈指出，“供應(yīng)鏈風(fēng)險(xiǎn)的核心在源頭，等到上線后再防護(hù)，成本高、效果差，甚至無(wú)法挽回”；
以AI治理AI：AI風(fēng)險(xiǎn)具有動(dòng)態(tài)、實(shí)時(shí)、智能體協(xié)作的特性，傳統(tǒng)基于規(guī)則的安全工具難以應(yīng)對(duì)。懸鏡自研AI小模型與大模型微調(diào)能力，打造“AI紅隊(duì)、AI漏挖、AI審計(jì)”等智能體，AI紅隊(duì)、智能體檢測(cè)、動(dòng)態(tài)防御背后都是專有小模型或大模型微調(diào)，用AI的動(dòng)態(tài)性、智能化，對(duì)抗AI的新型風(fēng)險(xiǎn)，跟上AI的速度。
智能情報(bào)驅(qū)動(dòng)：構(gòu)建覆蓋“開(kāi)源組件漏洞、AI模型投毒、智能體風(fēng)險(xiǎn)”的情報(bào)體系，實(shí)時(shí)跟蹤0Day/1Day漏洞、惡意組件投毒事件，結(jié)合SBOM（軟件物料清單）與AI BOM（AI物料清單），精準(zhǔn)定位組件級(jí)、模型級(jí)風(fēng)險(xiǎn)，實(shí)現(xiàn)“小時(shí)級(jí)預(yù)警、快速響應(yīng)”。子芽表示：“這是數(shù)字供應(yīng)鏈安全治理的第一性原理。”
產(chǎn)品落地：“3+1”全棧體系精準(zhǔn)匹配市場(chǎng)分層需求
AI在重塑網(wǎng)絡(luò)安全行業(yè)格局的同時(shí)，AI賦能安全其實(shí)是第一階段，而未來(lái)AI本身的安全才是行業(yè)最大的一個(gè)增量市場(chǎng)。在做好“安全AI”的同時(shí)積極布局“AI安全”也許才是行業(yè)中所有企業(yè)應(yīng)該去思考的問(wèn)題。
懸鏡安全·新一代數(shù)字供應(yīng)鏈安全治理體系
基于新一代數(shù)字供應(yīng)鏈安全治理體系，懸鏡安全構(gòu)建了“3+1”的標(biāo)準(zhǔn)產(chǎn)品體系——3大AI原生安全核心工具+1個(gè)AI智能供應(yīng)鏈情報(bào)底座，同時(shí)保留并升級(jí)傳統(tǒng)軟件供應(yīng)鏈安全產(chǎn)品，形成“傳統(tǒng)能力夯實(shí)+AI能力引領(lǐng)”的全棧布局，精準(zhǔn)覆蓋頭部、中小客戶的差異化需求。
針對(duì)運(yùn)營(yíng)商、政企、能源等強(qiáng)監(jiān)管、慢AI化的存量市場(chǎng)，懸鏡保留并升級(jí)核心產(chǎn)品，旗下源鑒SCA（開(kāi)源治理）、靈脈IAST（安全測(cè)試）、靈脈PTE（滲透模擬）、夫子ASPM（體系化治理）作為傳統(tǒng)軟件供應(yīng)鏈安全產(chǎn)品，解決客戶開(kāi)源治理、代碼審計(jì)、漏洞防護(hù)等剛需問(wèn)題；而以靈脈AI（AI Coding安全）、問(wèn)境AIST（AI原生安全測(cè)試）、靈境AIDR（AI智能體安全）和云脈AI（AI安全情報(bào)）組成的全新AI原生安全產(chǎn)品陣容則針對(duì)金融、大制造等AI應(yīng)用密集、風(fēng)險(xiǎn)敏感的增量市場(chǎng)，可以覆蓋客戶在AI代碼生成、模型測(cè)試、智能體運(yùn)營(yíng)全場(chǎng)景的安全需求。
面對(duì)行業(yè)中AI Coding產(chǎn)品及服務(wù)的快速發(fā)展，子芽表示，懸鏡安全會(huì)堅(jiān)持聚焦自身擅長(zhǎng)的安全領(lǐng)域，不做通用型AI編程助手，而是聚焦AI Coding、智能體應(yīng)用和軟件敏捷交付過(guò)程中新增暴露面的主動(dòng)風(fēng)險(xiǎn)治理，持續(xù)強(qiáng)化安全護(hù)欄能力。
CTO寧戈進(jìn)一步指出，智能體時(shí)代下，代碼、腳本、工具調(diào)用和外部依賴關(guān)系更加復(fù)雜，風(fēng)險(xiǎn)也更容易沿著新的數(shù)字鏈路擴(kuò)散。因此，持續(xù)的風(fēng)險(xiǎn)情報(bào)、資產(chǎn)關(guān)聯(lián)和影響分析能力，將成為企業(yè)應(yīng)對(duì)AI原生供應(yīng)鏈風(fēng)險(xiǎn)的重要基礎(chǔ)。
在懸鏡安全全新的“3+1產(chǎn)品體系”中，“1”所代表的情報(bào)底座，正是支撐這一能力演進(jìn)的關(guān)鍵組成部分，也將成為懸鏡安全未來(lái)持續(xù)布局AI原生安全的重要抓手。
客戶層面，針對(duì)頭部與中小客戶的差異化需求，懸鏡采用分層交付模式，平衡價(jià)值與成本：頭部客戶（金融、大制造）以平臺(tái)化產(chǎn)品為主，少量定制開(kāi)發(fā)（控制在5%-10%以內(nèi)），提供全棧解決方案與專屬服務(wù)，合同金額高、粘性強(qiáng)；而中小客戶（政企、中小企業(yè)）則以標(biāo)品工具訂閱為主，降低準(zhǔn)入門(mén)檻，預(yù)算友好；子芽甚至在與安全419的訪談中透露，今年下半年將推出供應(yīng)鏈安全情報(bào)、代碼漏挖等按效果付費(fèi)服務(wù)，按實(shí)際漏洞數(shù)量、修復(fù)效果計(jì)費(fèi)，進(jìn)一步降低中小客戶試錯(cuò)成本。
而目前來(lái)看，懸鏡安全的產(chǎn)品正在市場(chǎng)上逐漸打開(kāi)局面，客戶結(jié)構(gòu)從早期以金融、互聯(lián)網(wǎng)中小企業(yè)為主，拓展至運(yùn)營(yíng)商、大制造、能源、政企等強(qiáng)監(jiān)管領(lǐng)域，高價(jià)值KA客戶占比持續(xù)提升。
深析“從-1到0”的來(lái)時(shí)路 讀懂安全創(chuàng)業(yè)的“經(jīng)營(yíng)本質(zhì)”
訪談中一個(gè)頗具標(biāo)志性的信號(hào)是：在網(wǎng)絡(luò)安全行業(yè)普遍面臨預(yù)算收緊、融資降溫與增長(zhǎng)壓力的背景下，創(chuàng)業(yè)第11年的懸鏡安全實(shí)現(xiàn)了首次年度盈利。對(duì)于一家持續(xù)投入技術(shù)研發(fā)和產(chǎn)品創(chuàng)新的安全企業(yè)而言，這不僅是一項(xiàng)財(cái)務(wù)結(jié)果，更意味著其產(chǎn)品價(jià)值、客戶結(jié)構(gòu)與商業(yè)化能力正在進(jìn)入更加健康的正循環(huán)。
“核心不是簡(jiǎn)單壓縮成本，而是收入質(zhì)量和客戶價(jià)值在持續(xù)提升。”懸鏡安全CEO子芽表示。
前幾年，網(wǎng)絡(luò)安全行業(yè)在資本和市場(chǎng)需求的共同推動(dòng)下進(jìn)入快速擴(kuò)張階段，不少企業(yè)都曾將市場(chǎng)覆蓋和客戶拓展放在更優(yōu)先的位置。子芽也坦言，懸鏡安全在早期增長(zhǎng)過(guò)程中同樣經(jīng)歷過(guò)以規(guī)模拓展為核心的階段。“當(dāng)時(shí)行業(yè)整體都在追求更快的市場(chǎng)覆蓋，但我們很快意識(shí)到，增長(zhǎng)不能只看合同規(guī)模，更要看客戶是否真正獲得價(jià)值，以及企業(yè)自身是否具備可持續(xù)交付能力。”子芽表示。
從2022年起，懸鏡安全開(kāi)始主動(dòng)調(diào)整經(jīng)營(yíng)策略，將重點(diǎn)從“規(guī)模優(yōu)先”轉(zhuǎn)向“高質(zhì)量增長(zhǎng)”：一方面持續(xù)優(yōu)化客戶服務(wù)體驗(yàn)，提升規(guī)模化交付能力；另一方面，更加重視項(xiàng)目質(zhì)量、客戶價(jià)值和經(jīng)營(yíng)健康度，把可持續(xù)增長(zhǎng)作為公司內(nèi)部的重要管理目標(biāo)。
這一轉(zhuǎn)變，也為懸鏡安全上一年度實(shí)現(xiàn)首次盈利奠定了基礎(chǔ)。子芽認(rèn)為，盈利并不是簡(jiǎn)單依靠壓縮成本實(shí)現(xiàn)的，而是源于產(chǎn)品價(jià)值、客戶質(zhì)量和交付效率的同步改善。“好的增長(zhǎng)，不只是拿下更多客戶，而是如何讓這些高質(zhì)量客戶愿意主動(dòng)選擇你、持續(xù)選擇你。”子芽說(shuō)。
在分析公司增長(zhǎng)背后的原因時(shí)，子芽將其概括為外因與內(nèi)因兩方面：
外因在于：甲方不再盲目追逐低價(jià)，更傾向于與頭部、可持續(xù)經(jīng)營(yíng)的廠商合作，而懸鏡的盈利狀態(tài)、技術(shù)沉淀與服務(wù)能力，恰好契合甲方的核心訴求。而子芽坦言“創(chuàng)業(yè)也需要運(yùn)氣”，AI原生安全的爆發(fā)，恰好與懸鏡在數(shù)字供應(yīng)鏈安全上的長(zhǎng)期技術(shù)理念堅(jiān)持、深厚技術(shù)創(chuàng)新積累高度契合，內(nèi)生自免疫、敏捷自適應(yīng)、共生自進(jìn)化。”
相比之下，子芽認(rèn)為能夠獲得當(dāng)前的良好局面其實(shí)更多歸結(jié)于自身的內(nèi)因——如果說(shuō)創(chuàng)業(yè)從0到1靠的是技術(shù)和產(chǎn)品，那從-1到0則靠的是創(chuàng)新力和組織力。從- 1到0，遠(yuǎn)比0到1更重要！從-1到0，本質(zhì)是驗(yàn)證“賽道能跑通、商業(yè)模式能賺錢(qián)、團(tuán)隊(duì)能打勝仗”。這份認(rèn)知背后，是三大經(jīng)營(yíng)原則：
第一，淡化外部競(jìng)爭(zhēng)，深耕內(nèi)部組織力：不把注意力消耗在外部競(jìng)爭(zhēng)上，而是聚焦產(chǎn)品創(chuàng)新力、經(jīng)營(yíng)效率、人才梯度建設(shè)，低調(diào)打磨核心能力；
第二，堅(jiān)守經(jīng)營(yíng)效率與未來(lái)現(xiàn)金流穩(wěn)健優(yōu)先：2022年之后，懸鏡安全沒(méi)有再開(kāi)啟新的融資窗口，而是依靠自身經(jīng)營(yíng)造血持續(xù)投入研發(fā)、產(chǎn)品和客戶服務(wù)。這讓公司避免陷入“為了融資而擴(kuò)張、為了規(guī)模而犧牲利潤(rùn)”的路徑依賴，也讓增長(zhǎng)變得更有質(zhì)量；
第三，對(duì)長(zhǎng)期主義的篤定，拒絕短期投機(jī)：不盲目跟風(fēng)熱門(mén)概念，深耕數(shù)字供應(yīng)鏈安全賽道11年，堅(jiān)信“慢就是快”，技術(shù)與產(chǎn)品的沉淀終將穿越周期。
面對(duì)未來(lái)，子芽的規(guī)劃清晰且克制——依然堅(jiān)持“堅(jiān)守長(zhǎng)期主義，做有質(zhì)量的增長(zhǎng) ”，在經(jīng)營(yíng)目標(biāo)上，懸鏡更加重視客戶滿意度、項(xiàng)目毛利額、毛利率和項(xiàng)目交付周期，推動(dòng)增長(zhǎng)從規(guī)模導(dǎo)向轉(zhuǎn)向價(jià)值導(dǎo)向。在客戶策略上懸鏡更加重視關(guān)鍵客戶的持續(xù)運(yùn)營(yíng)，通過(guò)更深度的場(chǎng)景理解和更專業(yè)的技術(shù)服務(wù)能力，提升客戶合作質(zhì)量與長(zhǎng)期黏性；在組織建設(shè)上低調(diào)提升組織力、人才梯隊(duì)、產(chǎn)品創(chuàng)新效率。子芽笑言，自己創(chuàng)業(yè)早些年很少奔赴業(yè)務(wù)現(xiàn)場(chǎng)和用戶交流的，現(xiàn)在一半精力看產(chǎn)品、一半看業(yè)務(wù)，每個(gè)月都會(huì)找KA用戶交流產(chǎn)品技術(shù)細(xì)節(jié)。“要感知用戶真實(shí)需求，這對(duì)產(chǎn)品進(jìn)化很有幫助。”
結(jié)語(yǔ)
從軟件供應(yīng)鏈安全領(lǐng)域的領(lǐng)航者，到新一代數(shù)字供應(yīng)鏈安全治理體系的開(kāi)拓者；從11年技術(shù)深耕實(shí)現(xiàn)首次年度盈利，到“3+1”AI原生安全治理體系規(guī)模化落地，懸鏡安全的成長(zhǎng)路徑，折射出是新時(shí)代中國(guó)賽道頭部技術(shù)企業(yè)“深耕技術(shù)、敬畏經(jīng)營(yíng)、順應(yīng)趨勢(shì)”的縮影。以硬核技術(shù)創(chuàng)新夯實(shí)根基，以高質(zhì)量經(jīng)營(yíng)效益穿越周期，在AI原生應(yīng)用時(shí)代創(chuàng)造性拓展安全治理的新邊界。
這份成績(jī)單的背后，是公司從“規(guī)模增長(zhǎng)”走向“高質(zhì)量增長(zhǎng)”的戰(zhàn)略轉(zhuǎn)身，是對(duì)數(shù)字供應(yīng)鏈安全賽道的堅(jiān)定深耕，更是在AI重塑產(chǎn)業(yè)格局時(shí)的前瞻布局。而站在2026年這個(gè)行業(yè)巨變的當(dāng)下，我們發(fā)現(xiàn)“低調(diào)”了3年的懸鏡安全正在以一種“更強(qiáng)的管理運(yùn)營(yíng)能力、更體系化的產(chǎn)品服務(wù)、更成熟的商業(yè)化布局”的全新姿態(tài)面對(duì)市場(chǎng)的嚴(yán)苛考驗(yàn)。
懸鏡安全的11年，是一段從技術(shù)驅(qū)動(dòng)、資本驅(qū)動(dòng)，到經(jīng)營(yíng)驅(qū)動(dòng)、價(jià)值驅(qū)動(dòng)和創(chuàng)新驅(qū)動(dòng)的完整旅程。首次盈利不是一個(gè)終點(diǎn)，而是一個(gè)新的起點(diǎn)。在AI重構(gòu)整個(gè)網(wǎng)絡(luò)安全產(chǎn)業(yè)的關(guān)鍵時(shí)刻，懸鏡沒(méi)有盲目跟風(fēng)“AI賦能安全”，而是冷靜地體系化推出了AI原生安全產(chǎn)品線，并重新定義了“數(shù)字供應(yīng)鏈安全”的邊界。正如子芽所說(shuō)：
“創(chuàng)業(yè)不要被外部競(jìng)爭(zhēng)過(guò)度打擾，更要聚焦自身的綜合組織力和持續(xù)創(chuàng)新力。盡早找到自己很不一樣的東西，并持之以恒迭代下去。”
這條路，懸鏡正在越走越穩(wěn)。安全419也將持續(xù)關(guān)注懸鏡安全及其“新一代數(shù)字供應(yīng)鏈安全治理體系”的后續(xù)落地與市場(chǎng)反饋。
