Cylance 失败拆解：14 亿美元买进的 AI 杀毒引擎，六年后 1.6 亿美元卖出，年收入只剩 7,120 万美元
Cylance 用机器学习替掉病毒特征库，2019 年被黑莓以 14 亿美元现金买下，六年后以 1.6 亿美元现金加 550 万股卖出，年收入从 1.75 亿美元降到 7,120 万美元；本期按增长、市场、战略、竞品、产品与商业模式逐层拆开「模型优势为什么撑不成护城河」，并给出七条可证伪阈值。
2024 年 12 月 16 日，Arctic Wolf 与黑莓联合发布公告：前者以 1.6 亿美元现金加约 550 万股自家普通股，买下黑莓的 Cylance 端点安全资产，公告把 Cylance 称作「AI 端点防护的先驱」1。六年前的同一个月，黑莓为同一门生意付出的是 14 亿美元现金，并在交割公告里称它是「AI 与网络安全领导者」，说这笔交易让黑莓朝「全球最大、最受信任的 AI 网络安全公司」迈了一大步2。
一句话总结：Cylance 用机器学习模型替代病毒特征库做端点防护，2019 年 2 月 21 日被黑莓以 14 亿美元现金收购3，2025 年 2 月 3 日以 1.6 亿美元现金加 550 万股卖出4；被收购前一个完整财年它的营业收入是 1.75 亿美元，作为终止经营业务的最后一个财年只剩 7,120 万美元，毛利率同期从 47.8% 降到 39.9%45。
增长判断：断点落在「模型」与「模型更新所依赖的数据回路」被分开定价这件事上。Cylance 的卖点是把防护从匹配特征改成预测行为——黑莓年报的原话是，不同于传统的基于特征的网络安全产品，Cylance 能预测从未见过的代码是否有害并阻止其运行5。这个能力在 2016 到 2018 年值钱，因为同代产品还在比对已知病毒库。等到同一代机器学习被竞品接进云端遥测聚合，又被系统自带的安全套件免费捆绑，单点模型就只能拼价格，而价格由平台方定。判断同类生意能不能走通，先看模型与内容更新频率有没有随客户规模加快，再看收入增速与市场增速的差是否在扩大，最后看采购清单里有没有一个同能力且免费的对手。
增长因果链：它靠「不用特征库」的模型拿到四千多家企业客户2 → 黑莓用全部现金把它买下，并入 BlackBerry Spark 平台，成为企业安全叙事里的一层2 → 市场整体在涨，它的收入逐年下降，从 1.51 亿降到 1.296 亿、0.936 亿、0.712 亿美元45 → 三年终止经营净亏损合计 7.252 亿美元，其中商誉减值 1.522 亿、长期资产减值 2.310 亿美元4 → 黑莓在 2024 年 10 月启动战略评估，12 月签协议，2025 年 2 月交割46 → 买家分三笔付款、其中一笔是它自己的非上市股票，卖方交割当天到手的净现金是 7,980 万美元4。
Part G：增长系统（AARRR 全链路剖析）
1. 获客：四千多家企业客户，卖法靠渠道与政府转售
被收购时公告给出的客户口径是「全球四千多家公司」2。买方买走产品与合同之后，黑莓 CEO 在公告里说明自己会继续做这门生意的转售方，专门服务「政府大客户」6。这句话把客户关系的归属交代得很清楚：政府渠道留在原东家手里，买家拿到的是一套可以塞进自家平台的产品。
结论：用渠道与转售换来的覆盖能迅速堆高装机规模，代价是公司与最终客户之间的那条线握在别人手上；客户名单越大，公司自己对使用情况的掌握反而越少。
2. 激活：公司从未披露部署终端数与激活率
黑莓年报对 Cylance 产品线的描述停在功能层面：CylancePROTECT 做端点预防，CylanceOPTICS 做端点可见与阻止，CylanceGUARD 提供持续威胁狩猎与监控5。部署了多少终端、多少终端在正常上报、使用率是多少，公开材料里都查不到。能观察到的替代量是合同侧的数字：2024 年 2 月 29 日被划为待售资产时，Cylance 账上的递延收入是流动 4,550 万美元加非流动 1,330 万美元，合计 5,880 万美元4，相对它最后一个财年 7,120 万美元的收入约等于 0.83 倍。
结论：递延收入与年收入之比只有 0.83，说明合同期偏短、预收偏少；这个比值配上客户名单规模，能看出合同结构，看不出产品在客户那里的活跃程度——激活层面的数字是这门生意最不透明的一段。
3. 留存：净金额留存率没有披露，收入曲线与毛利率是仅有的读法
公司没有披露 Cylance 的续约率、净金额留存率或客户数变化4。可核的是三条线同时向下：营业收入 FY2020 1.51 亿、FY2023 1.296 亿、FY2024 0.936 亿、FY2025 0.712 亿美元；毛利率 FY2023 47.8%、FY2024 40.5%、FY2025 39.9%；毛利润从 6,200 万美元降到 2,840 万美元45。
结论：收入、毛利率、毛利润三条线一起向下，对应的通常是续约时降价与客户流失同时发生；公司不披露留存率，那就只能把收入曲线当成留存率的替代品来读。
4. 收入：被收购后的第一年，报表里含着 5,700 万美元的口径调整
收购完成后的第一个完整财年（FY2020），黑莓口径下的 Cylance 收入是 1.51 亿美元，占公司总收入 14.5%；同一份年报给出的「调整后」数字是 2.08 亿美元，差额里 5,700 万美元来自收购带来的递延软件收入调整5。此后黑莓不再单列这个口径，直到 Cylance 在 2025 财年被列为终止经营业务，才又出现一份独立损益表，收入是 FY2023 1.296 亿、FY2024 0.936 亿、FY2025 0.712 亿美元4。
结论：口径调整能把收购后第一年的账面收入抬高三分之一，而剔除这项调整之后，这条收入曲线从被收购那天起就在往下走；判断一门被收购的业务好不好，第一年要看剔除收购会计调整后的数字。
5. 推荐：客户侧没有可核的传播数据
结论：这门生意的增长完全依赖渠道与转售方的下一次配送；客户侧没有品牌，也没有可核的传播资产，渠道一旦换掉供货商，获客能力就跟着供货关系一起转移。
Part O：市场机会
它所在的品类没有遇到需求问题。IDC 的口径显示，这块市场在 2022 年 6 月止的十二个月里规模是 86 亿美元，份额第一的 CrowdStrike 同期收入同比增长 62.4%7。同一份数据里，CrowdStrike 占 17.7%，微软占 16.4%8。
份额增长的分配方式解释了另一个数字。同一份 IDC 数据里，Cylance 在 2022 年的份额是 1.3%6。市场在两年里扩了将近三分之一，而它的收入从 1.296 亿美元掉到 0.712 亿美元4。
需求侧的迁移方向也变了。采购端要的东西从「防住已知威胁」移到「持续看见并在终端上处置」，公司 CEO 把这次迁移列为处置 Cylance 的原因之一6；端点检测与响应、扩展检测与响应、托管检测与响应依次成为入口，平台型公司把前两层与云端遥测捆在一起卖，系统厂商把安全能力放进企业已经在买的套件里7，只剩下单点产品在价格上被反复比较。
结论：这门生意的问题出在它在市场里的位置——一个规模 86 亿美元、份额第一的公司还在以 62.4% 增速扩张的品类，照样可以把份额和收入都给平台与系统厂商，单点供应商拿到的是不断被比价的那一部分需求。
Part S：战略定位（五次移动）
第一次，2016 到 2018 年，独立公司。 用模型替代特征库的说法拿到四千多家企业客户，被收购前一个完整财年的营业收入是 1.75 亿美元，也就是 US GAAP 下截至 2019 年 2 月 28 日的独立口径数字5。
第二次，2019 年 2 月 21 日，成为黑莓的 AI 旗舰。 黑莓用 14 亿美元现金完成交割，另承接未归属的员工激励，这是它当时历史上最大一笔并购3。公司在公告里把自己定义为「全球最大、最受信任的 AI 网络安全公司」，并强调 Cylance 的 AI 技术可嵌入，用来加速 BlackBerry Spark 这个物联网安全平台2。
第三次，2019 到 2023 年，变成平台里的一层。 Cylance 与 UEM、Dynamics、Workspaces 一起被装进 Spark5。FY2020 它贡献 1.51 亿美元收入，占全公司 14.5%5；此后黑莓不再单列这条线。
第四次，2024 年 10 月，转入战略评估。 黑莓当时表示正在为 Cylance 评估选项，公司 CFO 说要把支出从 Cylance 这类昂贵业务转向更赚钱的部门6；CEO 把原因指向市场向检测与响应产品的迁移，并说 Cylance 需要大量投入才能增长6。
第五次，2024 年 12 月 16 日签约、2025 年 2 月 3 日交割，成为别人平台上的端点模块。 买方 Arctic Wolf 是私募控股的托管安全服务商，公告写明这笔收购用于加强它的 Aurora 安全运营平台1。黑莓保留对政府客户的转售权，同时成为 Arctic Wolf 的股东6。
结论：五次移动里，前两次由产品定义，后三次由财务与市场结构决定；两次定价之间的差额，就是市场对「模型优势」这项资产给出的估值修正。
Part C：竞品矩阵与替代关系
| 公司 | 技术路线 | 最近一个财年收入 | 与 Cylance 的关系 |
|---|---|---|---|
| CrowdStrike | 云原生单代理平台，遥测聚合在云端 | FY2026 收入 48.1 亿美元、同比 +22%，期末 ARR 52.5 亿美元9 | IDC 口径份额 17.7%，是这条赛道份额第一8 |
| SentinelOne | AI 原生起步，同样把探针与云端平台一起做 | FY2026 收入 10 亿美元、同比 +22%10 | 与黑莓 Cylance 自 2019 年 10 月起互相提起九项程序（其中七起诉讼）11 |
| Microsoft | 系统与办公套件厂商，安全业务规模最大 | 安全业务年收入超过 200 亿美元（2023 年 1 月公司口径）12 | Defender for Endpoint 在 IDC 2022 年企业端点安全份额中排第一7 |
| VMware Carbon Black、Trellix、Sophos 等 | 点产品与整合后的产品组合 | 未披露 | 与 Cylance 同属被平台挤压的一类，先后进入并购与重组5 |
| Cylance | 模型驱动预防，后期补端点检测响应与托管服务 | FY2025 收入 0.712 亿美元，全部来自终止经营口径4 | 2022 年份额 1.3%6 |
这条赛道还留了一条法律线。黑莓与它的子公司 Cylance 从 2019 年 10 月起对 SentinelOne 提起一系列程序，总数达九项，其中七起是诉讼11。同一类技术出身的两家公司，一家后来做到 10 亿美元年收入，另一家在被买入六年后以 1.6 亿美元卖出。
结论：这条赛道最后比拼三件事——探针收集的数据有没有汇进一个随客户规模增长的池子、产品线能不能覆盖采购入口那一层、以及定价能不能扛住系统厂商的免费捆绑；先做出模型既不加分，也撑不起护城河。
Part P：产品设计
Cylance 的产品线在 2019 年就摆成了三层：CylancePROTECT 负责端点预防，用机器学习阻止可疑行为与恶意代码执行；CylanceOPTICS 负责端点上的可见与阻止；CylanceGUARD 提供持续威胁狩猎与监控5。黑莓在年报里把差异点写得很明确：传统的基于特征的产品靠比对已知样本，Cylance 声称能对从未见过的代码给出判断5。
这条产品线的问题出在采购入口的顺序上。三层里，预防层是它的立身之本，也是竞品最容易追平的一层；检测与响应层需要云端遥测把不同客户的攻击样本汇到一起，再回灌到模型里；托管服务层卖的则是人力和流程，规模由装机量带动。三层之间是单向的：终端装机决定后两层的收入上限，后两层撑不起装机量4。
一个可以直接观察的指标是模型与内容更新频率，也就是这套预测能力多久被重新训练、样本池有多大。公开材料里查不到 Cylance 的更新周期，也查不到它与竞品在同一第三方测评下的检出率与误报率对照45。同年竞品的路线把这件事做成了公开卖点：探针只负责采集，模型在云端统一更新8。
结论：它的短板落在检测能力之外：让检测能力随客户规模复利的那套数据回路，以及能承接采购入口的托管层；三层产品线单向依赖装机量，等于把公司的增长上限交给了最容易被追平的那一层。
Part E：商业模式与单位经济
Cylance 卖的是订阅，合同期限大多不跨过长周期：被划为待售资产时，递延收入合计 5,880 万美元，对面是一个财年 7,120 万美元的收入4。成本结构随之下移：营业收入从 1.296 亿降到 0.712 亿美元，毛利润从 6,200 万降到 2,840 万美元，毛利率从 47.8% 降到 39.9%4。
费用端在这三年里被压过一轮：研发从 6,020 万降到 3,040 万美元，销售与市场从 6,580 万降到 4,250 万美元，一般与管理从 2,240 万降到 1,570 万美元4。压缩没能改变方向，FY2023 到 FY2025 的净亏损合计 7.252 亿美元，其中含 FY2023 的商誉减值 1.333 亿与长期资产减值 2.310 亿、FY2024 的商誉减值 1,890 万美元4。
卖出时的账面对价与现金对价分开看，更能说明买家的判断。总价是 1.6 亿美元现金加 550 万股 Arctic Wolf 普通股；交割当日的净现金约 7,980 万美元，另一笔约 4,110 万美元在一年后支付，550 万股按交割日估值约 2,460 万美元4。因为前几年的减值已经把账面价值压到 1.87 亿美元（待售时点商誉 8,700 万加无形资产净额 9,680 万美元），这笔交易在黑莓的报表上确认了约 1,040 万美元的处置收益4。
结论：单位经济在两个方向同时恶化——收入端被竞品与捆绑压价，成本端要养三层产品线；买家分三笔付钱、并把自家非上市股票放进对价，等于把支付节奏和资产的未来现金流绑在一起，卖方交割当天实际落袋的只有大约一半。
Part L：洞察提炼
一、模型是入场券，模型更新所依赖的数据回路才是护城河。 当同一代模型谁都能训出来，决定胜负的就是谁的样本池更大、更新更快；买模型能力和买回路是两笔完全不同的钱。
二、用渠道换规模的公司，会先失去对使用数据的掌握。 四千多家客户的名单握在渠道和政府分销关系上，公司就看不到终端上真正发生了什么；下一期产品的训练素材也就无从积累。
三、把收入增速和同品类头部公司并排放，是这类资产最早的警报。 IDC 记录下的那十二个月里，份额第一的公司收入同比增长 62.4%，Cylance 的份额是 1.3%、收入在 FY2023 到 FY2025 从 1.296 亿美元掉到 0.712 亿美元，这条剪刀差出现之后，估值修正只是时间问题468。
四、产品线缺了采购入口那一层，检测能力会被降级成可替换模块。 采购入口在检测与响应，以及后来的托管服务；只有预防层的公司，会被放进方案里当零件比较价格。
五、系统自带的能力会重定价整个品类。 当同一个能力随企业已经在买的套件一起交付，独立供应商面对的就不再是同代产品之间的比较，而是接近零的增量价格；微软在这块市场的份额是 16.4%，安全业务年收入超过 200 亿美元812。
六、AI 溢价会在减值和卖出价上结算，会计结果和现金结果可以同时好看与难看。 黑莓在处置这笔资产时确认了 1,040 万美元的账面收益，因为前几年的减值已经把账面价值压得很低；同一笔交易里，公司六年前付出去的现金是 14 亿美元34。
Part D：决策分析（可证伪阈值与触发动作）
1. 收入增速与市场增速的差
指标：被投业务最近两个财年的收入增速，减去第三方给出的同品类市场增速。
阈值：连续两年低于市场增速 20 个百分点以上。
触发动作：把它当作份额流失处理，按停滞业务的倍数重估，并查一遍同期毛利率。
本案证据：IDC 记录下份额第一的公司在 2022 年 6 月止的十二个月里收入同比增长 62.4%8，Cylance 2022 年的份额是 1.3%6，其收入 FY2023 到 FY2025 从 1.296 亿美元降到 0.712 亿美元4。
2. 毛利率的绝对水平与方向
指标：该业务的毛利率，以及它与同代竞品的差距。
阈值：连续两期下降，且低于同代平台型竞品 10 个百分点以上。
触发动作：要求披露按产品的成本结构；在拿不到之前，按服务型业务而非软件业务定价。
本案证据：Cylance 毛利率从 47.8% 降到 39.9%4，同期以订阅为主的 CrowdStrike 订阅毛利率是 78%9。
3. 模型与内容更新频率
指标：公司披露的模型更新周期、样本池规模，或可观察的更新频率。
阈值：比主要竞品低一个数量级，或者根本不披露。
触发动作：把它归入「模型采购方」而不是「数据回路持有方」，按前者的估值区间给价。
本案证据：黑莓年报只描述能力，未披露 Cylance 的更新周期与样本口径45。
4. 产品线是否覆盖采购入口层
指标：产品线里有没有端点检测与响应、扩展检测与响应或托管检测与响应。
阈值：只有预防层，或后两层收入占比连续两年低于 25%。
触发动作：按可替换模块定价，并假设它在客户方案里的位置由平台方决定。
本案证据：Cylance 三层产品线中，预防层是立身之本，托管层规模依赖装机量，采购入口的迁移方向由 CEO 自己说明56。
5. 采购池里是否出现免费的同能力对手
指标：客户办公套件订阅里是否已包含同能力模块。
阈值：一旦出现，且该厂商在第三方份额统计中进入前三。
触发动作：把价格假设归零，只保留被捆绑厂商不覆盖的行业与合规场景。
本案证据：微软安全业务年收入超过 200 亿美元，Defender for Endpoint 在 IDC 2022 年企业端点安全份额中排第一712。
6. 收购方 24 个月内子业务的收入与亏损
指标：被收购业务在买入后两个完整财年的收入变化与经营亏损。
阈值：收入不增长，且亏损率没有收窄。
触发动作：把减值与出售列入基准情形，并按买家自己的支付能力判断退出窗口。
本案证据：Cylance 在 FY2020 之后收入逐年下降，FY2024 与 FY2025 年报口径下的经营亏损分别为 1.358 亿与 7,030 万美元45。
7. 卖出对价的支付结构
指标：现金、分期、买家股权各自占比与到账时点。
阈值：交割当日净现金低于总对价的 60%，或含买家非上市股权。
触发动作：按可回收现金与清算价值定价，持续经营价值只在后续里程碑兑现后计入。
本案证据：总对价 1.6 亿美元现金加 550 万股，交割当日净现金约 7,980 万美元、占比约一半，另一笔 4,110 万美元一年后支付，股票按交割日估值 2,460 万美元4。
数据缺口与置信度
- Cylance 的客户数：被收购时公告口径为「四千多家公司」，此后黑莓从未更新（置信度 A）24。
- 净金额留存率、续约率、单客户合同金额、按客户毛利：公司未披露（置信度 A）4。
- FY2019 到 FY2022 的 Cylance 独立损益：黑莓只在 FY2025 年报中以终止经营口径给出 FY2023 到 FY2025 三个财年，更早年份没有对应口径（置信度 A）4。
- 模型更新周期、样本池规模、终端遥测的处理方式：公开材料未披露（置信度 C）45。
- 第三方测评下的检出率与误报率对照：本期未找到可核的公开对照（置信度 C）。
- 2022 年 1.3% 的市场份额来自 IDC 数据经媒体转引，未见 IDC 原始报告全文（置信度 B）6。
- 处置对价的调整项：FY2025 年报写约 3,910 万美元、FY2026 年报写约 4,210 万美元，两处口径不一致，本文引用交割环节的实际数字（置信度 B）413。
- 黑莓为 Cylance 投入的整合、重组与人员费用：未在报表中单列（置信度 B）4。
References
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10SentinelOne 季度业绩页（官方投资者关系页）
investors.sentinelone.com
- 11BlackBerry 2022 财年第二季度季报（含法律程序披露）
s28.q4cdn.com
- 12
- 13
This story was produced automatically by a channel. One sentence is all it takes for Neodrop to keep producing for you.