这篇访谈讲的是Vanta这家安全与合规软件公司如何在AI时代转型。创始人Cacioppo认为，市场对高增长高利润的SaaS公司估值偏低，但长期会自我修正。她重点提到：Vanta正转向“Agent优先”产品，让AI代理自动执行任务（如离职员工账户清理），目前25%客户已在使用；公司选择自己承担AI推理成本来推动采用，暂不急于赚钱；她还指出顶级人才薪酬五年涨了约10倍，公司知识比垂直技能更被低估。
Christina Cacioppo，Vanta创始人兼CEO，在节目中讨论了如何在AI时代构建持久的软件公司。Vanta已服务超过16,000家企业，成为安全与合规领域的领导者。核心观点是，Vanta正转向“Agent优先”产品，让AI代理直接完成工作而非仅辅助用户，并自行承担AI成本以推动采用。她指出，顶级人才的薪酬已上涨10倍，软件定价正从席位制转向结果导向。关于AI安全，她认为AI信任危机是当前被低估的风险，而Vanta定位为安全公司，未来五年将聚焦于自动化安全监控与审计。
Christina Cacioppo，Vanta创始人兼CEO，在节目中讨论了Vanta如何从合规审计起家成长为安全与合规领域领导者（服务超过16,000家企业），以及如何在AI时代重塑软件公司。核心观点包括：Vanta正转向"Agent优先"产品架构，让AI代理直接完成工作而非仅辅助用户；公司选择自行承担AI推理成本以推动采用，暂不急于商业化；顶级人才的薪酬在过去五年上涨了约10倍；软件定价正从席位制向结果导向探索但路径不明。Cacioppo认为AI信任危机是当前被低估的风险，Vanta定位为安全公司，未来五年将聚焦于自动化安全监控与持续渗透测试。
主持人问：Vanta创立时这是一个新品类，有多家公司试图做同样的事，Vanta如何成为唯一的赢家？
Cacioppo将胜利归因于三个因素：
1. 持续执行："软件是祝福也是诅咒——你只和你最近一次发布的产品一样好。你可以是第一个，但没关系，因为现在有人可以在一个周末用vibe code复制你的东西。所以你必须不断发布新产品、新功能。"
2. 数据基础设施（信任图谱）：Vanta投入了大量资源做集成，目前已连接400多种工具，从中拉取大量数据。Cacioppo称其为"信任图谱"（trust graph），本质上是一个安全数据湖（security data lake）。"这个数据基础让我们能更快地构建新东西——软件和Agent都是。"
3. 市场推广的持续推动：包括"好得出奇"的广告牌、在r/accounting社区获得口碑（"合规没那么烂"）。
主持人指出：Vanta是一个高速增长（80%增长率）、高利润率（80%毛利率）的业务，但市场给这类业务的估值倍数只有四年前的1/3到1/4。问Cacioppo作为创业者如何面对这种环境。
Cacioppo承认存在"认知失调"（cognitive dissonance），需要同时持有两种想法：
她指出三重压力：
| 压力来源 | 具体表现 |
|---|---|
| 融资环境 | 许多投资者是"AI最大化主义者"——只投实验室和爱荷华州的拖拉机（机器人），中间什么都不投 |
| 人才竞争 | 员工看到其他公司每6个月融资一次、估值翻5倍，会质疑自己是否在"正确的船上" |
| 叙事压力 | 市场要求每个公司都讲"百亿或万亿"的故事 |
"你必须为时间的全部长度而活。我认为这一切最终会自我修正。"
主持人问：Vanta如何应对AI时代的挑战？是否将自己视为AI公司？
Cacioppo表示Vanta在Agent产品化方面走得很远，甚至尚未找到更领先的AI应用公司。
Agent的工作方式：
具体案例：
"有人刚离开你的公司，你还没移除他所有的账户。我为你写了一个自定义Agent，它会去执行这件事。你想让我开启它吗？好的。你还想让我移除这三个人的访问权限吗？好的。"
采用数据：目前25%的客户已在使用这种Agent流程，目标是提升到75%。
Cacioppo解释了为什么Vanta选择"吃掉"（eat）AI推理成本：
1. 用户很聪明："如果你试图按token收费，用户会很快发现——你只是把Claude的token加价了4倍。你比Claude好4倍吗？不知道，让我试试。"
2. 避免与模型直接竞争：按token定价会把应用置于与底层模型直接竞争的位置。
3. 当前重点是采用："这是一个技术使用和部署阶段，先把它做好。商业化可以之后再说。"
Cacioppo透露Vanta在年初投入了大量精力做评估（evals）——让安全与合规领域专家编写任务特定的评估框架。
"当我们考虑模型切换时，主要是质量，不是成本。部分原因是我们不像编码那样消耗大量token。编码Agent用很多token，法律和文档起草可能其次。而我们的领域是决策和行动，token用量相对较少，这让我们可以优化质量。"
主持人问：其他创始人都在做什么？最终状态会是什么？
Cacioppo说"每个人都想做到结果定价"（outcome pricing），但难点在于定义"结果"。
她区分了输出（output）和结果（outcome）：
Vanta尝试定义"整洁的工作单元"（neat unit of work）——如"文档草稿完成""警报关闭""账户离职处理"——但问题在于：
"我刚刚命名了三件事，我还能再命名47件。然后用户必须想：如果我用Agent做这个，我付这个价；如果我自己做，我付那个价……没人想要这个。"
她批评了token定价和"信用点"（credits）定价的变相做法：
"用户很聪明，他们知道你在做什么。你只是把token定价模糊化了。"
主持人问：Vanta作为一家8年历史的公司，在内部使用AI工具方面做得如何？
Cacioppo给自己打了较低分数，主要原因是代码库老化：
"8年历史的代码库，上下文窗口无法理解全部内容，Agent会做蠢事。然后你需要一个高上下文的工程师来监督它——这有帮助，但某种程度上否定了Agent的意义。"
她提到Vanta正在做代码库模块化（modularizing），让Agent能理解更小的部分并有效工作。Notion在这方面领先了约9个月。
"公司一直有这个问题的——当新工程师入职时，需要时间理解代码库。Agent只是放大了这个问题：现在我们想明天入职9000个新工程师。"
主持人问：AI改变一切的程度是1到10？Cacioppo回答："9。原则还是一样的——一切都很困难，人很重要，所有老生常谈还是老生常谈。但做事的方式应该完全不同。"
主持人问：如果Cacioppo回到教授角色，采用AI的101是什么？
1. 自己先用："听起来很明显，但一定要自己用。"
2. 持续学习："至少每两周更新一次对模型的理解——它们在哪里好、哪里差、harness是什么意思。变化太快了。"
3. 让更多人参与："你需要对什么有效、什么无效有切身体验，这样当有人说'我要解雇所有SDR因为我建了一个Agent'时，你能判断哪里对、哪里错。"
Cacioppo分享了一个具体案例：Vanta今年要改进客户上手体验，团队（有才华、有动力的人）反复提交"上手向导"方案——有进度条、有彩纸特效的传统SaaS方式。
她反复说"不要向导，用LLM"，但团队还是带向导来。
真正的原因：
"他们不知道拖拽文件的功能能不能实现，可能不行。但他们知道向导一定能行——因为他们以前做过。他们觉得这个项目不能失败。"
解决方法是："我们赌LLM流程会成功，我们会让它成功，必要时我们会爬山式改进，但烧掉船，就让这个东西工作。"
主持人问：顶级人才的薪酬在过去五年涨了多少？
Cacioppo估计总薪酬上涨了约10倍，并认为"实际上应该更高"。
她的薪酬哲学："你永远付不够给最优秀的人。永远不够。你应该一直尝试，但永远达不到。"
什么让顶级人才如此有价值？
"高能动性（high agency），把事情做成。这听起来很平淡，但确实值几百万美元。一个高上下文的人，了解公司、客户和领域，做出大体合理的决策，有时做出糟糕的决策然后迭代，只是持续前进——这太有价值了。"
主持人问：未来五年会再涨10倍吗？Cacioppo认为加速，但有一个反作用力——投资者对稀释和股权激励的关注度。
"2022-23年行业确实讨论过股权激励问题，但现在肯定不讨论了。没有稀释方面的压力，人们只会赚得越来越多，这可能也是应该的。"
Cacioppo表示自己历史上不太在意估值倍数，但现在在意的是员工感受：
"员工觉得他们在一家不断增长的公司，而且增长相对于市场上的其他机会。市场上有公司每6个月融资一次、估值翻5倍——那是真实的人才竞争者。"
关于tender（员工股份回购）：她认为"不健康"，但"我的意见不重要。tender已经常态化了，人们期望它成为薪酬的一部分。如果你不给，你得用其他东西补上。"
| 项目 | 理由 |
|---|---|
| Token定价 | 用户会识破加价，把应用置于与模型直接竞争的位置 |
| 低利润率本身 | "为了低利润率而低利润率"没有意义 |
| 自定义训练模型（post-training） | 主要是营销价值，尤其是对投资者。推理提供商说：post-train的理由是成本，不是质量 |
公司与客户知识（company context）：
"雇佣、培训、让新人融入公司仍然非常困难。一个在公司待过、知道如何导航公司、了解客户的人，价值被低估了。我现在更看重这个，而不是垂直技能（如你很擅长销售）。我宁愿要一个销售技能差一点但更了解Vanta的人。"
她认为AI实验室和快速编码AI公司在组建市场团队时，过于看重"你是个好销售"这个技能，而低估了公司上下文的价值。
Cacioppo认为FDE本质上是"专业服务"（professional services），但用FDE这个包装吸引了不同的（更优秀的）人才池。
"如果你叫它专业服务角色，那是完全不同的人才画像。你不会让哈佛CS毕业生、高能动性、想学习如何建立业务的人去报名成为公司的第4号或第12号专业服务人员。"
她指出Palantir做得好是因为有八位数合同，而很多公司用FDE做五到六位数的合同，"那些经济模型可能倒挂了"。
主持人问：与全球创始人交流学到了什么？
Cacioppo分享了与法国客户的交流：
"几周前我在巴黎见客户。非常惊讶地发现，很多法国软件公司主要使用中国模型。我最初以为是民族主义或反美情绪，愚蠢地提出了这个猜测。有人很快纠正了我：'绝对不是。我们基本上是在特朗普对非美国人关闭Fable时切换的。我们意识到存在巨大的业务连续性风险——我们不能信任如果业务建立在美国模型上，它会一直可用。'"
主持人问：Vanta未来五年的愿景是什么？
Cacioppo将Vanta定位为安全公司（security company），而非仅合规公司。
"我们始于合规。合规的最佳形式是证明你拥有的安全。你必须先有好的安全。我们可以并且正在进入多个安全领域，作为一个平台——我们已经有数据，已经有通过Agent的智能，可以在此基础上叠加更多安全产品。"
核心论点：AI时代对安全证明的需求只会增加。
"无论与大型企业、政府、监管机构还是立法者合作，你都必须证明你的软件是工业级的。这将以更多方式、在更多领域发生。Vanta连接了这个市场的两端。"
Cacioppo认为AI带来的安全威胁不是零日漏洞，而是链式攻击：
"这些模型比人持久得多。人会在大约9,000次尝试后放弃，模型会尝试9万亿次。它们能把17个单独看来良性的东西串联起来，找到真正的漏洞。"
她引用OpenAI在RSA大会上关于Hugging Face的演讲作为例子。
对安全行业的影响：
"以前你会说'这个漏洞低严重性，90天内修复'。但AI把优先级完全颠覆了。说'一切都很关键'没有帮助——那你怎么办？实际上，你必须以机器速度修复。如果你以机器速度修复，你就不需要优先级排序了。"
"一个持续的白帽黑客Agent，一直在尝试入侵。每次它发现什么，就有一个伙伴Agent去修复。这就是Vanta部分产品的终极愿景——对大多数客户来说非常有效。CrowdStrike可能对大型企业做得更好，但Vanta专注于自己已经嵌入的客户群。"
Cacioppo指出Wiz的客户从几千人公司起步，价格也从几千人公司起步。Vanta瞄准的是"不太可能花15万美元买Wiz，但很愿意花4-5万美元买适合他们的产品"的客户。
主持人问：Cacioppo的个人动机如何随时间变化？
"一开始，我有一种'人们觉得我做不到，我觉得我能，我要证明给他们看'的感觉。现在仍然有，但少了一些黑暗的锋芒。更多是'哦，酷，我们到了这里。现在看看我们能跑多远'——这感觉更像乐趣和喜悦。不是一直喜悦，但感觉更像'看看我们能走多远'，而一开始更像是'你觉得我连起跑线都过不了？我证明给你看'。"
Cacioppo说最让她自己惊讶的是，她比预想中更喜欢市场推广（go-to-market）。
关于公开演讲：
"我曾经是一个非常糟糕的公开演讲者。在自家团队面前最紧张——因为我最在乎他们的看法。暴露疗法很有帮助——你只是去做，就会变好。"
什么让一场演讲好？
"没人记得你说了什么，但他们记得你让他们感觉如何——这个老生常谈很烦人，但非常真实。内容必须真实。如果你上台觉得没有内容，观众也会觉得。关键是要找到你自己的版本——对我来说，我放真实内容进去，同时记住没人会记得任何事实，所以那不是重点。"
"心（heart）比头脑（mind）重要得多。而好心的关键是：你自己相信它。真诚。一对一，在台上——人们很擅长读懂彼此。"
主持人问：当前最大的权衡是什么？
Cacioppo指出两个关键权衡：
1. Agent优先 vs. 传统SaaS UI：
"我们试图以Agent优先的方式构建一切。你想要报告？Agent会基于所有数据按需为你生成图表。我们不会把Tableau塞进Vanta——这在2021-22年我们可能会做。我们相信这是软件的未来。但也许那个拖拉机公司（指传统SaaS）需要10年。如果你对了但太早，而如果我们错了……"
2. 大型企业的AI抵触：
"我们正在与一家美国大型企业谈判，他们说'也许要你们的AI功能，也许不要，但能先关掉吗？'原因是：非AI工具更容易通过采购流程。我们没有关闭开关——我们不想建那个。我们宁愿把时间和精力花在真正有用的东西上。"
主持人问：如果Cacioppo还是投资者，她会关注哪里？
Cacioppo表示不羡慕当前投资者的处境：
"如果你在过去四年没有投资实验室或推理提供商，你应该关闭你的基金——你在干什么？这种感觉在投资者端比公司端更尖锐。"
她认为被忽视的机会：
| 领域 | 理由 |
|---|---|
| 开源模型生态系统 | 围绕开源模型的基础设施远不如大实验室完善，但市场已经"决定"开源模型会很重要 |
| 安全/网络安全 | 看到比其它领域更多的创业公司 |
| 收入技术（Rev Tech） | 旧的SaaS收入技术提供商应该在做这些，但似乎没有——它们在走PE/Bending Spoons路线 |
| 机器人 | "模型在那里也变得非常好了，这是明摆着的。可能还是被低估了，相比所有软件方面的关注" |
"Vanta过去几年与各级政府（联邦、州、地方、美国内外）合作增多。AI在政府官员中制造了FOMO。他们一直知道自己没有现代化流程或软件，但现在感觉更紧迫了。"
主持人问：有什么重要的事情被忽视了？
Cacioppo认为AI信任危机是当前被低估的风险：
"从数据中心对话到个人Agent，我们就是不像以前那样信任软件公司和科技公司了。而且这种情况逐年恶化。很难想象它会反弹回15年前那种有用的乐观主义。"
Vanta的定位：
"帮助公司通过实际指标和定义证明自己是值得信赖的、工业级的、安全的。Vanta在2500亿美元估值时，处于所有这些交易的中心——帮助公司达到高标准，然后帮助他们传达这一点并加速业务。"
主持人总结："AI带来了极高的兴奋但极低的信任。" Cacioppo回应："是的。Vanta的工作是保持兴奋，但增加信任。真正地增加信任，不只是靠感觉。"
"更快，更激烈，更具攻击性——希望如此，因为我们需要更多的白帽来反击。速度必须达到我们从未有过的水平。你必须让人类达到那个速度——把一部分人类决策过程去掉。人类可能架构系统、写规则，但不做每一个决策。也许未来我们都在写评估（evals）——整天写评估。"
"扩张性（expansive）。我们有这个不可思议的客户和数据基础，现在可以在上面构建东西。用了8年到达这里，我们可以在上面再建5年或8年。"
| 标的 | 嘉宾观点或明确动作 | 关键依据与数据 |
|---|---|---|
| Vanta | 创始人兼CEO，定位为安全公司，正在Agent优先转型 | 16,000+客户，5个产品线，400+工具集成，25%客户已使用Agent流程 |
| CrowdStrike | 认为在大型企业市场做得更好，Vanta不直接竞争 | 专注于不同市场段 |
| Wiz | 在云安全配置领域有重叠，但客户群和定价不同 | Wiz客户从几千人公司起步，价格从$150K+起；Vanta瞄准$40-50K市场 |
| Notion | 在代码库模块化方面领先Vanta约9个月 | 被引用为AI工程实践的参照 |
| Cursor | 被提及为人才竞争的来源（"抱怨Cursor抢人"） | 无仓位动作 |
| OpenAI | 被引用为AI安全讨论的参照（RSA大会演讲） | 无仓位动作 |
| Palantir | 被引用为FDE模式的成功案例 | 有八位数合同，经济模型可行 |
1. "你只和你最近一次发布的产品一样好"（Cacioppo）——软件行业的永恒真理在AI时代被放大，因为复制门槛大幅降低。
2. "用户很聪明，如果你试图把Claude token加价4倍，他们会发现"（Cacioppo）——AI应用层不应试图在token上赚差价，这把自己置于与模型直接竞争的位置。
3. "你永远付不够给最优秀的人"（Cacioppo）——顶级人才薪酬在过去五年上涨约10倍，且仍在加速，因为高能动性、高上下文的人的价值在AI时代被放大。
4. "公司上下文比垂直技能更重要"（Cacioppo）——了解公司如何运作、客户是谁的人，比单纯擅长某个职能的人更有价值，尤其是在AI工具降低技能门槛后。
5. "法国公司用中国模型不是因为民族主义，而是因为业务连续性风险"（Cacioppo）——地缘政治不确定性正在重塑全球AI基础设施选择。
6. "AI带来了极高的兴奋但极低的信任"（主持人/Cacioppo共识）——Vanta的定位是"保持兴奋，增加信任"，这可能是AI时代最重要的商业机会之一。
7. "也许未来我们都在写评估（evals）——整天写评估"（Cacioppo）——人类在AI世界的角色可能从执行者转变为规则制定者和评估者。