Invest Like the Best · Patrick O'Shaughnessy、Christina Cacioppo · 2026-10-20 · 57 min · 原语言 EN

她称Vanta的400项集成形成“信任图谱”，助其更快开发软件和agent。目前约25%客户使用agent流程；若升至75%，她预计留存和体验将改善。公司暂时承担token成本，避免加价后被拿来与Claude比较，商业化和利润率恢复仍待观察。

要点 TL;DR

• Cacioppo认为，Vanta能赢得品类竞争，靠的是执行力：“你真正的实力，取决于你最近交付的东西”——如今别人一个周末就能用 vibe coding 复刻你的产品。 Vanta的结构性优势是“信任图谱”：由400个集成接入的数据构成的安全数据湖，她说这让Vanta能更快开发新软件和 agent。公司成立约8年，全球客户约16,000家，产品约5款。
• “SaaSpocalypse”是她最害怕的时刻，而亲历估值重定价让她感到“认知失调”。 拉长时间看，她认为80%增长、80%利润率的企业最终能带来比160%增长、30%利润率的企业更多现金；“但今天，后者的估值是前者的3倍、4倍……倍数甚至是前者的10倍。”AI至上派投资人告诉她，他们只愿意投“实验室，还有……基本上就是爱荷华州的机器人拖拉机，中间什么都不投”。
• Vanta目前选择自行承担 token 成本，而不是把费用转嫁给客户。 客户看到 Cloud token 被加价，就会问这个应用是否“比 Claude 好4倍”；按 token 定价会让应用直接与模型竞争，改用额度也掩盖不了这一点。目前25%的客户已使用 agent 流程；若Vanta能把这一比例提高到75%，她预计留存率和体验都会改善。“现在是使用阶段……把这件事做好，之后再想怎么商业化。”
• 她认为，token 定价、为了低毛利而追求低毛利、为营销效应做 post-training（“说到底，主要是为了投资人”）以及 FDE 都被过度炒作。 她说，有些情况下 post-training 确实能降成本，某些企业部署也可能适合专属模型，但她怀疑把模型交给客户就是正确的最终形态。FDE往往只是换了个时髦标签的专业服务；八位数合同或许能支撑其商业模式，五位数和六位数合同的经济账则可能完全算不过来。被低估的是公司和客户背景，相比之下，她宁愿选一个销售能力稍弱、但了解Vanta的销售人员。
• Vanta最高层员工的总薪酬，可能已是5年前的约10倍。 她说顶尖人才的价值正在加速上升，Vanta应拉大薪酬差距，而且“顶尖人才永远拿得不够”。股权要约交易已经常态化，也被视为薪酬的一部分；她认为这种局面不健康，但自己的看法并不能改变现实。
• 安全威胁格局正在变化：AI模型可以持续尝试海量操作，并把看似无害的发现串联起来。 Patrick描绘的未来，是一个持续运行的白帽渗透测试 agent，再配一个负责修补漏洞的“伙伴 agent”；Cacioppo认为，Vanta的一些业务有可能做到这一点，尤其是那些可能不愿支付Wiz企业级价格的客户。
• 她对更广泛趋势的判断是：AI开启了一个“高热情、低信任”的时代，人们对科技公司的不信任还在加深。 她预计，企业、政府和监管机构会越来越看重软件是否达到工业级标准。随着Vanta从合规拓展到更多安全产品，她设想公司可以成为这类交易的枢纽。一个来自一线的观察是：法国软件公司告诉她，他们主要是出于业务连续性担忧转向中国模型，而非民族主义。

摘要 Digest

1. 执行力赢得品类，信任图谱构成优势

• Vanta成立约8年，全球客户约16,000家，产品约5款。公司从一开始就致力于帮助企业“建立并赢得信任”：协助企业启动或完善安全与合规项目，再通过 SOC 2、ISO 2701、HIPAA 等审计、问卷和信任中心，帮助企业获得客户认可。被问到如何在拥挤的赛道里胜出，她回答：“执行力……你可以先行，也可以开创这个品类，但这些其实没那么重要。现在更是如此，因为别人一个周末就能用 vibe coding 复刻你的产品。”
• 结构性优势来自集成能力：Vanta连接400种工具，把数据汇入“信任图谱”。她将其概括为“一个安全数据湖”，并称其数据基础比其他供应商更广，甚至超过一些安全服务商；这让Vanta能更快开发新软件和 agent。
• 她最害怕的时刻是过去12个月。“SaaSpocalypse。你会想，‘好吧，系统记录做得不错。现在你完蛋了。’”这种说法有些部分是对的，有些不是；关键问题是：“很好，那 agent 是什么？你有这么多数据，也有记录系统。然后呢？你到底打算拿它做什么？”

2. 好生意遭遇估值重定价：接受认知失调

• Patrick提到，Vanta增长很快、利润率也很高——4年前，这些特征可能会被视为最理想的商业模式——但估值倍数如今只有过去的三分之一或四分之一。她的回答是，得同时接受两件事：“拉长时间看，80%增长、80%利润率的企业，最终确实会比160%增长、30%利润率的企业更好；但今天，后者的估值是前者的3倍、4倍……倍数甚至是前者的10倍。”
• 现实的竞争环境是，融资掌握在AI至上派手中：“我们会投实验室，还会投爱荷华州的机器人拖拉机，中间什么都不投”；而有抱负的员工“如果觉得自己上错了船，就会换船”。她的应对是继续做符合商业逻辑的事——“这可能包括，也可能不包括 token 定价模式”——并“着眼长远”。

3. Agent已成为产品核心，她称还没见过走得更远的公司

• 如果拿Vanta agent和人们熟悉的“AI应用”对标，她说“我们还没找到比我们走得更远的公司”，但也承认，最直接的批评当然是“我们找得不够认真”。产品层的“Vanta agent”背后，是数百个配有工具和计算机的任务型 agent；前端则是长期运行的 agent，可以即时生成 UI，“因为有时你想用聊天，有时你想要界面”。
• 一个具体例子是员工离职后，账号权限没有被全部撤销。Agent会说：“我刚为你写了一个定制 agent，它会去处理这件事。要我现在启用吗？……你还要我撤销这3个人的访问权限吗？”它借鉴了实验室常见的 UI 交互：“这次要我做吗？以后都要我做吗？”
• 如今25%的客户已经在使用这类 agent 流程。如果Vanta能把比例提高到75%，她预计留存率和客户体验都会更好；定价问题可以之后再解决。
• 她正在权衡的是：优先打造 agent，而不是堆砌 SaaS 界面——“我们不会把 Tableau 塞进Vanta”，尽管Vanta在2021年或2022年可能会这么做——同时又要面对企业采购的现实。一家美国企业曾询问能否关闭Vanta的 AI 功能，因为非AI工具更容易通过采购流程。Patrick把这种扩散风险概括为“判断是对的，但来得太早，所以结果就是错的”。她表示，Vanta不会做关闭开关。

4. 定价：别让自己和 Claude 正面竞争

• token 定价为什么行不通？客户“非常聪明”，可能会问：“你只是把一个 Cloud token 加价4倍。你的产品真比 Claude 好4倍吗？”这会让应用直接和模型竞争——“没有哪个应用真想陷入这种竞争”——而把 token 换算成额度也骗不过用户。“我们现在自己承担 token 成本”，接受更低的利润率。
• 人人都想做结果定价；她曾教微观经济学，很喜欢它的激励机制。但她区分结果和产出：关闭一张客服工单是产出，“真正的结果是我的 Sonos 现在能用了”。要为工作量找到各方都认可的计价单位并不容易：“我刚才举了3个例子，还能再举47个。”这会增加用户比较 agent 代劳和自己动手时的认知负担。
• 模型选择依靠按任务或 agent 编写的评测，评测者是相关领域专家，包括曾负责安全和合规项目的人。专家也会评估这些评测本身；切换模型“主要是为了质量，而不是成本”。Vanta的决策和行动类任务比编程 agent 消耗更少 token；法律和文件起草任务可能消耗更多。

5. 在一家成立8年的公司里用AI重塑工作方式

• 被问到AI对建公司的影响有多大，按1到10分打分，她回答：“8分或9分。原则还是一样……那些老生常谈的道理也还是那些，但做事的方式应该很不一样。”
• 遗留代码库的问题在于，agent的上下文窗口不够理解8年的代码，“会做出一些蠢事”，还需要“高上下文的工程师在旁边盯着”，这可能让使用 agent 的初衷落空。她认为解决办法是模块化，让 agent 能完整理解更小的代码单元；她说Notion在这方面大约领先9个月。公司一直都要解决新工程师上手时的摩擦，“agent让问题变成了：太好了，现在我们明天就想让9,000名新工程师入职”。她认为Vanta在这方面做得不够好。
• AI应用入门第一步：自己用AI，给公司做点东西；至少每两周检查一次，因为变化很快。亲自上手能让人直观理解什么有效，也更容易质疑“我做了一个 agent，所以我们要开掉所有 SDR”这样的说法。她现在也更能体谅还没深入接触AI的优秀员工：找到阻碍他们的因素，帮他们开始做起来。
• 一个关于入职向导的例子：一支有才华、积极性很高的团队，反复提交 SaaS 入职向导方案，而不是 LLM 流程。真正的阻碍是：“我们不知道能不能让拖拽文件的功能跑起来……我们基本上觉得这个项目不允许失败。”她的回应是押注 LLM 流程，“破釜沉舟”。最终上线的是 Claude 风格的大画布：拖入杂乱的文件和截图，让系统理解内容并提出问题；效果很好。

6. 人才争夺战：万亿级故事与10倍薪酬

• 员工在其他公司听到的说辞是：“我们现在值60亿美元，但Sequoia一个月后会开出100亿美元的支票，明年还会有人把估值抬到250亿美元；不过你现在可以按60亿美元的估值加入。”她也考虑过跟着抬高承诺，“真正的问题是……你能不能带我们走到比如2,500亿美元？”“大概不能，但也不能说一定不行。”她实际采用的做法是“名副其实”：把指标给候选人看，用数据和可信的表达去对冲空泛的氛围和 YOLO 式承诺。
• Vanta最高层员工的总薪酬，“可能是5年前的10倍”。她说Vanta应该拉大薪酬差距，顶尖人才的价值正在加速上升。他们凭什么拿到高薪？“高主动性，把事情做成。听起来很平淡，但这价值数百万美元。”她认为顶尖人才永远拿得不够，不过也有人拿得远超其贡献。可能打破现状的力量，是投资人重新讨论股权稀释和股权薪酬（SBC）——“现在我们肯定不会谈这个。”
• 一个留人案例：一位强势的领导者考虑了一份承诺“完整决策权”的工作。她的回应是扫清障碍：“你需要什么，才能觉得自己可以做这些决定？那就去做。”谈到要约交易，她说Vanta过去没有常规开展，但“现实情况是，每次都在做要约交易”。它们已成为常态，也被视为薪酬的一部分；不提供要约交易，公司就得拿出其他东西。她认同这种情况不健康，但自己的看法改变不了大家对它的预期。
• 对她而言，IPO只是实现目标的手段，不是个人愿望清单上的一项。目标是打造一家“规模庞大、独立、独自发展的公司”。

7. 被过度炒作的是 post-training 和 FDE；被低估的是背景

• 被过度炒作的包括“按 token 定价、为了低毛利而追求低毛利，以及为了营销价值训练定制模型”。她说，推理服务商常把 post-training 的理由说成降成本，而不是提升质量；有些企业确实有降本需求，为企业用例训练专属模型也可能合理。她更大的疑问是，客户未必想要一个模型：“可以合理迭代，但这不是正确的解决方案。”
• 对于前线部署工程师（FDE），她说这是一种“很好的人才套利方式，和幕僚长类似”，但这个岗位往往只是换了标签的专业服务。她怀疑一个高主动性的哈佛计算机科学毕业生会愿意做传统专业服务。她认为Palantir很擅长这一套，尤其是八位数合同；但遇到五位数和六位数合同，商业模式的账可能就完全算不过来。
• 被低估的是公司和客户背景，相比之下，职能技能没那么重要。她会“选一个销售技巧差一点、但了解Vanta各方面情况的销售人员”，也认为实验室通过招优秀销售人员来组建 go-to-market 团队，可能低估了背景知识的重要性。
• 一条来自法国的一线观察：Cacioppo说，她接触的许多巴黎软件公司主要使用中国模型。她起初以为是民族主义或反美情绪，后来发现自己判断错了：客户说，他们是在所描述的美国模型访问限制出现后转用中国模型，原因是业务连续性，而非民族主义。访谈中提到的具体模型或服务名称并不清楚。

8. 安全攻防进入机器速度，以及她看好的方向

• 模型“比人有耐心得多。它们会尝试9,000万亿种方法，而人试到9,000次就会放弃”。变化不只在零日漏洞：她说，模型能把“17个看起来无害的东西”串联起来。她提到OpenAI在RSA的一场演讲，谈到Hugging Face，以及如何处理那些过去可能被视为低危、留待之后修复的发现。“如果你能以机器速度修复问题，就不必优先排序”——不过“走到那一步的过程会很颠簸”。
• Patrick设想，一个白帽渗透测试 agent 持续运行，旁边再配一个负责修补其发现问题的“伙伴 agent”。Cacioppo说，Vanta的部分业务、尤其是面向现有客户的部分，有可能做到这一点；她预计CrowdStrike在企业市场会做得更好。谈到云配置错误，她对比了Wiz：其客户多为员工数达数千人的企业，起步价约15万美元；Vanta则聚焦已经深度使用其产品的客户，他们可能愿意为适合自己的方案支付“40或50”。
• Vanta认为自己是一家从合规起步的安全公司：“最好的合规，就是证明你具备怎样的安全能力。”公司计划基于现有数据和 agent 智能，继续开发更偏安全的产品。随着企业面对越来越大的压力，要向企业客户、政府、监管机构等证明软件达到工业级标准，Vanta希望成为连接交易双方的平台。
• 以她过去的投资人视角来看（“我一点也不羡慕这份工作”），围绕开源模型的确定性判断，与其周边生态尚未充分建设的现实脱节；“实验室的一些打法似乎也应该适用于开源模型”。她看到的早期机会包括网络安全创始人、营收科技（rev tech）——一些在位公司选择了偏私募股权、由投资方主导的打法，而不是继续建设业务——机器人；机器人虽然有些热门，但她认为配置仍然不足；以及政府现代化。与AI相关的风险，也正帮助CISO为企业风险预算争取支持。

9. 广告牌风波，以及重建信任

• 广告牌的故事是这样的：她原本不看好广告牌，觉得“创始人的自我膨胀才会让人想做广告牌”。后来，PMM Sarah绕过上司来找她，提出文案“少说话的合规”。Cacioppo笑了笑，向投资人Andrew Reid确认后拍板。广告牌最终设在Burning Man附近，相关推文迅速走红，这句文案也在 r/accounting 上传播开来。她说它之所以有效，是因为体现了Vanta的幽默感：认真对待工作，但不把自己看得太严肃。
• 2022年市场崩盘后，广告牌位置变得更容易拿到，Vanta在101/280交叉口找到了一个好位置。尽管她曾在播客上说合同已经锁定好几年，实际上那只是一份刊登订单。后来一家初创公司拿下了这个位置；她提出支付300万美元，是对方约150万美元支出的两倍，但对方创始人说：“其实我们现金流为正。”她原本说“我在这里是个极不弹性的买家”，最后却变成“我真的是个极不弹性的卖家”。她半开玩笑地说，失去这个位置让Vanta损失了市值。
• 她的核心判断是：“我们已经不像以前那样信任软件公司和科技公司了，而且这种情况一年比一年严重。”她认同Patrick对“高热情、低信任”（high-excitement-but-low-trust）时代的概括。她认为Vanta的任务，是“真正地重建信任，而不是只靠氛围”。在B2B领域，她更看重具体数据、改善曲线，以及可能由合同背书的承诺；消费领域的信任则更依赖感觉，而且“似乎很难扭转”。被问到大型公司是否会使用个人 agent，她回答不会：她更愿意把邮件或聊天交给Google、Apple或其他自己选择的公司保管。她设想，Vanta可以成为交易的枢纽，帮助证明软件值得信赖、达到工业级标准；2,500亿美元只是她表达愿景时提到的数字，不是预测。
• 她的动力从“你觉得我连起跑线都迈不过去？那我就证明给你看”转向“看看我们能把这件事做到多远”；前一种心态“仍有一点阴暗的劲头，但少了些”。被问到Vanta未来5年的一个关键词，她回答：“拓展。”公司已拥有稳定的客户和数据基础，她认为还有空间继续向上构建。

来源：Podcast

原文链接: https://bidclub.ai/zh/e/christina-cacioppo-building-enduring-software-co