Cyberhaven

1.1 身份、产品范围与总部位置不确定性

Cyberhaven 将自己定位为一家 AI 与数据安全公司，核心差异化是数据谱系：公司称其平台会追踪敏感数据如何在终端、云、SaaS、本地系统和 AI 工具中产生、流动并变化。当前产品营销和 2026 年 2 月的增长发布都描述了一套横跨 DSPM、DLP、内部人员风险管理和 AI 安全的单一架构，而不是一组松散的点状产品。这种统一定位很重要，因为后续章节可以把 Cyberhaven 视为平台型公司，而不只是浏览器扩展或传统 DLP 供应商。 身份基础大体清楚，但并不完全干净。Redpoint 和 Tracxn 都把公司放在 San Jose，并列出五位创始人；Cyberhaven 自己的公开材料却在不同时点使用了不同的湾区地点署名：2024 年 9 月是 San Jose，2025 年 4 月是 Palo Alto，2025 年末和 2026 年初是 Mountain View。扩展隐私政策还列出一个 Palo Alto 邮寄地址。尽调口径下，最稳妥的标准描述是：Cyberhaven 是一家私营湾区公司，San Jose 获得最强的非公司来源支持，但总部精确位置仍需直接确认。 行业焦点更具体。Cyberhaven 公开面向科技 / SaaS、制造、律所、投资管理和医疗保健客户，这与其围绕保护敏感知识产权、受监管数据和 AI 工作流的叙事一致。最合适的定位是：一家在 2025 年达到独角兽地位的后期私营安全供应商，但仍只披露了部分运营指标。 [CO001, CO002, CO003]

1.2 创始人、领导层厚度与关键人物依赖

Redpoint 和 Tracxn 都列出 Cyberhaven 的五位创始人：Cristian Zamfir、George Candea、Radu Banabic、Vitaly Chipounov 和 Volodymyr Kuznetsov。当前可用来源中的公开创始人履历并不丰富，但投资方和数据服务商页面反复出现同一组五人，证据已足以把它视为公司最有支撑的创始团队名单。George Candea 还在 Tracxn 中以董事会观察员身份出现，说明公司商业化扩张后，至少仍有部分创始人延续到治理层。 Howard Ting 看起来是把 Cyberhaven 从研究色彩很重的组织推向规模化商业安全供应商的高管。BankInfoSecurity 报道称，Ting 2020 年 6 月加入时公司约 18 人，到 2025 年 5 月约 220 人。2024 年 9 月，Cyberhaven 又显著加厚管理层，在产品、财务、人力和企业发展方向引入 Nishant Doshi、Edward Sharp、Kristin Vines 和 Manoj Gupta。这些任命重要，因为它们显示公司在 D 轮之前已开始为更大的 GTM 和平台路线图制度化。 领导层连续性仍需关注。Ting 于 2025 年 5 月辞任 CEO，Doshi 在三个月交接后接任，Ting 留在董事会。到 2026 年 2 月，Cyberhaven 自己的发布稿已将 Doshi 标识为 CEO，并把 James McCarthy 和 Aman Sirohi 加入领导团队。与 2024 年初相比，这一序列降低了对单一高管的依赖，但公司围绕 CEO 继任和 2024 年扩张期引入的产品领导层，仍有明显关键人物敞口。 [CO003, CO004, CO005]

1.3 融资历程、投资方与治理信号

对一家私营安全公司来说，Cyberhaven 的公开融资史披露得异常充分。公司 2021 年 12 月宣布由 Redpoint 领投 $33 million B 轮，随后 2024 年 6 月宣布由 Adams Street Partners 和 Khosla Ventures 领投 $88 million C 轮，2025 年 4 月又宣布由 StepStone Group 领投 $100 million D 轮，新投资方包括 Schroders 和 Industry Ventures。D 轮公告给出的累计融资为 $250 million，估值为 $1 billion。这是现有最强的一手资本结构证据，应作为后续章节的基线。 C 轮让治理更可见。Cyberhaven 披露，Adams Street 合伙人 Fred Wang 随该轮融资加入董事会，这是审阅材料中最清晰的公开董事会增补。Redpoint 的公司页面则单独确认其在 2021 年 B 轮首次与 Cyberhaven 合作，说明 Redpoint 比 C 轮和 D 轮进入者持股时间更长。Tracxn 通过列出 23 家机构投资者和 6 位天使投资人补充了广度，但这只能作方向性参考，因为公开数据库常常与公司新闻稿在轮次和投资方类型分类上不一致。 一个重要尽调细节是，不同来源的累计融资数字并不完全对齐。Cyberhaven 称 D 轮后为 $250 million，而 Tracxn 称截至同日为六轮 $236 million。差距很可能来自数据库对补助、历史轮次或投资方轮次归属的处理，而不是实质资本错配，但它仍提醒我们：只有公司发布的轮次级公告应被视为标准口径。 [CO005, CO006, CO007]

1.4 封面指标、披露边界与公开经营信号

Cyberhaven 披露的信息足以确认成熟度，但不足以在没有管理层接触的情况下承销业务。最强的公开封面指标包括 $1 billion D 轮估值、官方累计融资 $250 million、2026 财年收入三位数增长，以及客户增长超过 50%。公司还公开声称进入了 Forbes AI 50 前五家公司中的四家和北美前五大银行，并被金融、法律、零售、医疗和媒体领域的大型组织使用。这些说法显示出企业级相关性和受监管数据敞口，但仍没有给出客户数量、ACV、留存或客户标识级收入集中度。 在估值工作最需要的规模指标上，公开披露明显更弱。审阅到的公开来源没有给出绝对 ARR、收入或客户数量。员工数也只能部分支撑：BankInfoSecurity 称 Cyberhaven 到 2025 年 5 月约 220 人，PitchBook 的公开 FAQ 列出 282 名员工，Tracxn 又显示一个不同且部分可见的员工数字字段。由于这些都不是公司正式 KPI 披露，员工数应被视为低置信区间，而不是标准数字。 安全态势信号好于财务透明度。Cyberhaven 的 Trust Center 展示了 SOC 2 Type 2、GDPR、CCPA 和 PCI DSS v4.0.1 材料，并列出渗透测试和网络保险材料。浏览器扩展隐私政策还确认，雇主客户控制扩展数据，该政策于 2024 年 9 月更新。这些都是有用的尽调线索，但底层文件仍需门禁访问，应直接向公司索取。 [CO007, CO008, CO009]

1.5 里程碑、不利事件与后续章节可复用内容

可复用的公司时间线很直接。公开来源支持以下节点：2016 年成立，2021 年 B 轮，2022 年发布内部威胁产品，2024 年 6 月 C 轮引入 Adams Street 并新增董事会席位，2024 年 9 月扩充领导层，2024 年 12 月浏览器扩展受损，2025 年 4 月完成使其成为独角兽的 D 轮，2025 年 5 月 CEO 交接，2025 年 11 月进入 Deloitte Fast 500 排名，2026 年 2 月发布强增长但不披露绝对财务数据的业绩更新。这些事件合在一起，显示公司在很短窗口内从技术起源故事推进到品类营销规模。 不利事件具有实质性，应延续到风险章节。TechCrunch、BleepingComputer 和 Nightfall 都描述了 2024 年 12 月下旬公司账户被攻破后发布的恶意 Chrome 扩展更新。报道影响包括已认证会话和 cookie 暴露、约 400,000 名扩展用户面临风险，并与一场影响超过 35 个扩展、约 2.6 million 用户的更大攻击活动有关。该事件并不推翻产品假设，但对一家销售数据保护软件的公司来说，是一次声誉和运营压力测试。 事件后的增长叙事依旧强劲。Cyberhaven 仍完成 D 轮，完成 CEO 更替且没有明显公开扰动，在 Deloitte 2025 Technology Fast 500 中排名第 51，随后又报告 2026 财年收入三位数增长。后续章节可以复用这条序列作为核心框架：强资本和品类动能，与披露缺口和一个有意义的运营污点并存。 [CO009, CO010, CO011]

1.6 展项

2.1 市场边界、纳入支出与替代方案

Cyberhaven 的合理市场边界，应从产品实际声称能做什么出发。Cyberhaven 官方材料把公司定位为 AI 与数据安全平台，统一覆盖终端、云、本地系统、SaaS 和 AI 工具中的 DSPM、DLP、内部人员风险管理和 AI 安全。因此，纳入支出不是“所有网络安全”，甚至也不是完整的数据安全宇宙。最相关的预算池是企业用于发现敏感数据、分类敏感数据、监控数据如何流动、防止未授权传输，以及调查高风险用户或 AI 辅助数据处理的支出。相邻支出包括 Microsoft Purview 的原生数据安全套件、Zscaler 的云交付 DLP，以及 Palo Alto Networks 的 CNAPP 集成 DSPM。现状替代方案包括原生 Microsoft 控制、传统 DLP 技术栈、人工数据分类项目，以及只聚焦云存储库的点状产品。应排除通用 SIEM、防火墙、终端保护和宽泛基础设施安全预算，因为这些预算并不直接购买数据发现、数据分类、外泄防控或内部人员风险响应。这个边界很重要，因为 Cyberhaven 的公开叙事讲的是流动中数据语境、谱系和响应质量，而不是拿下整个安全技术栈。[CM001, CM002, CM003]

2.2 规模测算视角，以及公开 TAM/SAM/SOM 为何仍受限

公开市场规模只有在边界逻辑明确时才有用。最宽的相邻视角是 DLP：Grand View 估算全球 DLP 市场 2022 年为 $1.87B，到 2030 年为 $9.33B，且云部署已是最大模式。下一层是内部人员风险管理；ResearchAndMarkets 估算该市场从 2024 年 $2.4B 增至 2030 年 $3.7B，而 Verified Market Reports 给出更大的路径，从 2024 年 $3.14B 增至 2033 年 $8.23B。最接近 Cyberhaven 的新兴品类是 DSPM，但即便在这里，公开估算也分歧很大：Growth Market Reports 称从 2024 年 $1.42B 增至 2033 年 $17.2B，而 DataHorizzon 把 DSPM 工具估为 2023 年 $1.8B、2033 年 $5.7B。Palo Alto 的厂商撰写市场指南又给出不同框架，引用 2025 年 $415M-$2B 的市场估值和 25%-37% 的年增长。合在一起，证据支持一个有意义且扩张中的数据中心型安全机会，但不支持一座干净嵌套的 TAM/SAM/SOM 金字塔。各品类彼此重叠，预测年份不同，有些来源统计独立工具，有些把集成平台模块也算进去。这足以方向性框定市场，但不足以声称一个精确的公开 Cyberhaven SAM 或 SOM。[CM003, CM004, CM005]

2.3 买方分层、预算归属与采用路径

公开买方地图更偏安全和合规，而不是开发者驱动。Cyberhaven 自己的云市场和官网信息反复面向安全团队、IT 专业人士、CISO 和受监管数据运营方；Microsoft 的内部人员风险文档则显示，这类采购常常落在合规、安全和租户管理流程中，并受许可门槛和明确角色组设置约束。实践中，经济买方通常是 CISO、合规负责人或中央安全平台负责人；运营用户是安全分析师、内部人员风险调查员和 IT 管理员；付款方往往是中央安全、合规或 Microsoft/Purview 相邻平台预算。公开材料也能看出采用路径：组织先识别数据蔓延或内部人员风险问题，再评估传统或原生控制是否噪声过大，然后在一两个数据通道中试点，再把工具接入身份、工单、DLP 或云工作流，最后扩展成更宽的数据安全项目。由于隐私设置、选择加入提示、连接器和跨平台策略执行都很重要，部署不是商品化的席位销售。当买方能把内部人员风险、AI 治理和合规报告连成一个可衡量的控制平面时，预算最可能被释放。[CM005, CM006, CM007]

2.4 增长驱动、采用约束与估值相关性

Cyberhaven 的采用逻辑受到几项持久驱动支撑。第一，云和多云蔓延持续把敏感数据推向终端、SaaS 和云存储库，这正是公开 DSPM 研究强调的发现和分类问题。第二，AI 采用带来新的外泄和治理问题：Cyberhaven、Microsoft 和 Palo Alto 都强调要保护如今流经 AI 工具和智能体的数据。第三，监管和治理压力正在上升；SEC 规则现在要求上市公司更明确地披露网络风险管理和治理，而 Microsoft 与 CISA 材料显示，内部人员风险控制正从临时调查变成正式项目。第四，泄露数据让紧迫感维持在高位。HIPAA Journal 对 Verizon 2024 DBIR 的总结显示，按 Verizon 方法，内部行为人造成 70% 的医疗保健泄露，68% 的泄露涉及人为错误。约束同样真实：传统环境碎片化，告警质量可能较差，许可和权限会拖慢上线，公开市场预测也不同意品类范围。对估值来说，这意味着 Cyberhaven 暴露在一个真实且增长中的市场中，但投资人应因实施摩擦，以及合同规模、胜率和垂直行业组合缺少公开证据而打折。[CM007, CM008, CM009]

2.5 展项

3.1 竞争版图与买方替代方案

Cyberhaven 并不是在绿色田地里销售。公开候选名单和厂商撰写的对比页面持续把它同时放在三类竞争者旁边：Microsoft Purview、Forcepoint、Symantec DLP 等既有企业 DLP 套件；Mimecast Incydr、Proofpoint 等直接的内部人员风险和响应中心型平台；以及 Nightfall 等相邻的云与 AI 导向 DLP 厂商。这种格局很重要，因为买方的“替代方案”往往不是一个一对一产品。在很多企业里，现实替代方案是扩展既有 Microsoft 或传统 DLP 资产，在其上叠加内部人员风险工作流工具，并等到新项目负责人拿到预算和高管背书后，再考虑替换式采购。因此，Cyberhaven 既在与单一直连同行竞争，也在与现状和套件扩张竞争。 竞争版图也因用例而异。Cyberhaven 的谱系优先叙事适合那些关心知识流重建、内部人员调查，以及阻止敏感数据在终端、SaaS 和 AI 工具间高风险共享的买方。Microsoft 在 M365 原生覆盖、隐私内建工作流和采购杠杆占优的场景中竞争。Forcepoint 和 Symantec 代表大型混合环境中传统控制厚重的路径。Mimecast 和 Proofpoint 主打快速内部人员风险响应与多通道证据。Nightfall 则用更简单的部署和公开定价信号切入 SaaS、浏览器和 AI 应用问题。从尽调角度看，Cyberhaven 必须赢在精度和工作流质量，而不只是产品名称里有 “DLP”。 [CP001, CP002, CP003]

3.2 Cyberhaven 的领先点与对手强项

Cyberhaven 最清晰的公开优势是上下文。其产品和对比页面称，平台把内容分析与数据谱系结合起来，追踪数据从何处产生、如何移动，并重建导致泄露或内部人员风险事件的过程。同一批材料还声称，相比传统的纯内容 DLP，它能显著减少误报并大幅加快调查。对于重 R&D 和受监管团队来说，这是一套有说服力的购买叙事：这些团队相较于打勾式合规，更在意敏感数据是否真的暴露、由谁处理，以及行为是恶意还是意外。 不过，对手各自攻击这套叙事中的不同弱点。Microsoft 的公开文档强调在已安装的 M365 环境中提供深度内容分析、机器学习、广泛策略覆盖和隐私敏感的内部人员风险运营。Forcepoint 和 Symantec 为已经拥有成熟策略团队和混合基础设施的大企业保留了既有控制姿态的论点。Proofpoint 和 Mimecast 强调调查中心型工作流、多通道遥测和自动化响应控制。Nightfall 的公开页面和定价强力押注快速上线，以及现代 SaaS、浏览器、终端和 AI 应用覆盖。Varonis 则通过把 DLP 与 DSPM、UEBA、访问治理和 AI 安全配对，推动相邻平台广度。换句话说，Cyberhaven 的叙事有差异化，但候选名单很深，因为相邻厂商可以把购买决策转向打包杠杆、简单性或云覆盖，而不是谱系。 [CP003, CP004, CP005]

3.3 护城河耐久性、切换成本与反向证据

公开证据支持一条真实但可被挑战的护城河。Cyberhaven 有牵引信号——FY2026 客户增长超过 50%、赢下 AI 密集和受监管账户、以 $1 billion 估值完成新融资——这些信号意味着公司有相当资源继续扩展平台。近期发布也显示，公司正从以终端为中心的谱系扩展到云连接器、静态数据扫描、AI 驱动分类和数据编目。这种扩张在战略上必要，因为最强的反向证据并不是说 Cyberhaven 缺少核心想法，而是说买方仍可能在边缘看到覆盖缺口、部署负担和信任风险。 这些边缘风险很重要。Nightfall 的竞品简报攻击 Cyberhaven 在 SaaS 可视性、终端上传覆盖和补救速度上的不足。SecurityWeek 对 2024 年 12 月恶意 Chrome 扩展更新的报道制造了一个采购异议，竞争对手可以在竞标中使用，尤其是在浏览器使用很重的部署里。既有厂商还保留非技术切换成本优势：Microsoft 可以把 DLP 和内部人员风险能力打包进更宽的合规支出，Forcepoint、Symantec、Proofpoint 和 Mimecast 则可以把自己定位为既有控制平面的延伸，而不是全新的安全项目。结果是，Cyberhaven 的护城河在买方明确重视上下文丰富的调查和较低误报率时最强；在采购更看重打包分发、既有工作流，或公开可证明的定价和合规覆盖时最弱。 [CP005, CP006, CP007]

3.4 展项

4.1 收入模式、定价机制与 GTM 动作

最容易把 Cyberhaven 的变现模式描述为围绕统一 AI 与数据安全平台的企业软件订阅。公司当前产品页面把一套平台定位为横跨 DSPM、DLP、内部人员风险管理和 AI 安全，并以数据谱系作为共同控制层。这个架构具有财务意义，因为它支持先落地再扩张的销售：Cyberhaven 可以从数据检测与响应切入，再随着客户需求拓宽，增加 DSPM 或 AI 安全控制等相邻模块。Microsoft 云市场列表也强化了同一套打包假设：它描述一个统一产品，可保护云、终端和可移动介质中的数据，并与 Microsoft Purview、Salesforce 等工具集成。 从商业模式看，Cyberhaven 并没有运行透明的自助式 SaaS 动作。官网把买方导向申请演示和免费点播演示，而不是公开价目表。第三方定价页面和 AWS 私有报价文档也指向同一方向：定价似乎基于订阅，通常与终端或数据量等部署范围挂钩，再通过企业合同、量折扣或云市场私有报价谈判。这意味着公开记录能支撑定价机制，但无法支撑实际成交价格、折扣纪律或模块级收入组合。 GTM 广度正在改善。Cyberhaven 称其渠道优先，运营转售 / 技术 / 集成合作伙伴项目，并且截至 2026 年 4 月，可通过 AWS、Azure 和 Google Cloud 云市场使用既有云承诺完成交易。这些采购选项可能缩短企业审批，并扩展收入路径，尤其适合已经通过超大云厂商承诺做预算的买方。尽管如此，保留来源都没有披露合同期限、续约率、实施服务组合，或订单额中来自直销、合作伙伴和云市场的比例。 [CI001, CI002, CI003]

4.2 公开牵引信号及其对单位经济的含义

尽管经典 SaaS 效率指标仍未披露，公开牵引信号方向上很强。Cyberhaven 2024 年 6 月 C 轮公告称公司新订单额增长 200%；2026 年 2 月业绩发布称，截至 2026 年 1 月 31 日的财年在收入、客户和平台采用上均创纪录增长，包括较上一年三位数增长、客户增长超过 50%。同一发布还称，客户包括 Forbes AI 50 榜单前五家公司中的四家、部分北美前五大银行，以及其他受监管机构和律所。这些披露支持 Cyberhaven 正在上探更大型、更重合规企业的判断。 客户验证也显示产品能够产生可衡量的运营价值。Cyberhaven 强调，启用实时用户指导后，问题解决时间改善 200%，高风险行为减少 80%。申请演示和合作伙伴材料还加入了管理层说法：平台可以降低告警噪声、压低项目成本，并通过整合工具降低总体拥有成本。这些不能替代 CAC、回本期、总留存或 NRR，但确实说明 Cyberhaven 为什么能够追求高端企业动作，而不是走销量驱动的商品化安全路线。 最难回答的公开数字问题是规模。独立数据供应商意见不一：Datanyze 和 ZoomInfo 都显示收入约 $64.9 million，Growjo 估算约 $52.4 million。这些数字有足够可信度，可用于构建一个公开估算区间，但它们不是公司申报数据，不应被视为可承销收入。合在一起，最强的单位经济解读是定性的：Cyberhaven 似乎拥有强企业需求、提升中的销售速度和有意义的产品 ROI 信号，但公开记录仍缺少关于 CAC、回本期、毛利率和续约质量的直接证据。 [CI003, CI004, CI005]

4.3 资本充足性、融资依赖与尽调阻断点

公开记录中最干净的资本充足性事实是 2025 年 4 月 D 轮。Cyberhaven 称该轮带来 $100 million，把累计融资推至 $250 million，并把公司估值抬到 $1 billion。管理层还表示，资金将支持 M&A、有机产品创新和激进的 GTM 投入。这种组合通常意味着进攻性的资金用途，而不是防守型过桥轮：Cyberhaven 看起来在同时融资支持平台扩张和分发增长。2026 年 2 月业绩发布，加上 2026 年 4 月云市场扩张，说明管理层在融资后仍继续投入，而不是放慢脚步。 尽管如此，仅凭公开数据仍很难承销公司。保留的公开来源没有披露在手现金、月度现金消耗、资金续航、债务余额、契约条款、项目融资义务或下一轮触发条件。North Carolina Secretary of State 备案页面显示其年度报告合规正常，包括一份与 2026-01-31 财年日期绑定的 2026 年备案，但该页面不提供上市公司备案会有的经营财务报表。SEC EDGAR 搜索页可作为备案尽调路径，但由于 Cyberhaven 仍是私营公司，本次没有保留到公司专属公开财务备案。 实际结论是，Cyberhaven 很可能拥有有意义的资本支持和当前需求，但财务质量仍取决于非公开尽调。下一次尽调会议应优先索取管理层披露的 ARR 或收入、毛利率、销售效率、现金与消耗、债务安排、收入确认政策，以及渠道 / 模块组合。没有这些项目，投资人可以为正面的商业动能观点辩护，但无法精确判断资金续航、资本强度或利润率路径。 [CI005, CI006, CI007]

4.4 展项

5.1 产品定义与平台概览

Cyberhaven 销售一套统一的 AI 与数据安全平台，把四个历史上相互分离的产品品类合在一起：数据安全态势管理（Data Security Posture Management，DSPM）、数据防泄露（Data Loss Prevention，DLP）、内部人员风险管理（Insider Risk Management，IRM）和 AI 安全（AI Security）。按客户工作流看，平台位于企业数据存储与所有外泄向量之间——邮件、浏览器、SaaS 应用、可移动存储、打印和云——并实时拦截高风险数据移动。它要解决的业务问题是，传统 DLP 产品在策略检查点检查内容，却不理解数据历史，因此产生大量误报，也漏掉依赖上下文的威胁。Cyberhaven 声称，借助每次决策中的谱系上下文，相比其他工具可减少 95% 的误报。产品面向那些高价值 IP、受监管数据或活跃内部人员风险高度集中的企业；科技、金融、制造、医疗和法律行业的具名客户可作为证据。价格未公开披露，需要直销接触。2026 年 4 月，平台可用性扩展至 AWS Marketplace、Azure Marketplace 和 GCP Marketplace，使客户可以用既有云承诺抵扣消费。 [CE001, CE002, CE003]

5.2 模块架构与产品线地图

平台由五个相互连接的模块组成。DSPM 在云和终端环境中发现并分类数据，并在数据于云与设备之间移动时持续监控。DLP 借助谱系增强的策略决策，在邮件、网页、云和设备上执行实时阻断和指导，而不是只做纯内容检查。IRM 把数据移动信号与行为信号结合，用于检测内部人员威胁并厘清意图，捕捉传统工具会漏掉的慢速外泄模式。AI Security 监控影子 AI 使用（ChatGPT、Google Gemini、Microsoft Copilot 和其他 AI 工具），评估 AI 风险态势，并在不阻断合法使用的前提下防止数据泄露给 AI 工具。Linea AI 是横跨所有模块的智能层——它包括 Detection Agent（使用专有 Large Lineage Models，即 LLiM，自主检测高风险活动）和 Analyst Agent（发起深度调查、收集证据，并交付带下一步建议的报告）。每个模块都作为统一平台的一部分销售；单个模块定价或单独 SKU 可用性没有公开记录。公司于 2026 年 5 月 5 日宣布名为 “Securing the Agentic AI Era” 的产品发布，暗示平台会继续扩展到智能体式 AI 治理，但截至研究日，该发布的具体内容尚未公开。 [CE003, CE004, CE005]

5.3 技术架构与部署模式

Cyberhaven 使用三种部署模式采集数据流。第一，终端代理支持 Windows、macOS 和 Linux 操作系统，并在 OS 层拦截文件操作、USB 传输、打印和应用层数据移动。第二，浏览器扩展（以 Chrome 为主）监控浏览器中的网页数据流、SaaS 应用上传和 AI 工具交互。该扩展正是 2024 年 12 月供应链事件的攻击向量。第三，云 API 连接器通过 API 与 SaaS 平台（Google Workspace、Microsoft 365）集成，在无需终端的情况下捕获云端数据移动。后端基础设施完全运行在 Google Cloud Platform（GCP）的美国数据中心。每个客户运行完全隔离的实例，拥有专用虚拟计算、存储和网络资源；客户之间不发生共享处理。微服务架构建立在最小权限原则上。终端传感器与后端之间的所有传输中数据都通过 TLS 加密；容器间流量也通过 GCP VPN 上的 TLS 传输。公开 REST API 暴露三个端点：/api/rest/v1/endpoints/list、/api/rest/v1/incidents/list 和 /api/rest/v1/audit-log/dataflow/list，均通过由 API key 派生的临时 bearer 令牌认证。GitHub 上的 edm-cli Python CLI（CyberhavenInc/edm-cli）允许使用哈希指纹（SpookyHash V2 + SHA256）以编程方式管理 Exact Data Match（EDM）数据库。Cyberhaven 还维护一个 GitHub 组织（CyberhavenInc），公开仓库包括 api2（Go HTTP API 库）、cel2sql（CEL 到 SQL 转换器）和 protoc-gen-grpc-gateway-ts（gRPC 网关 TypeScript 生成器），显示其内部技术栈使用 Go、gRPC 和 TypeScript。 [CE005, CE006, CE007]

5.4 差异化与专有技术

Cyberhaven 声称的差异化是其数据谱系引擎：它映射数据从创建到每一次复制、转换、重命名、邮件附件、上传和碎片化事件的完整旅程。正是这张谱系图驱动具备上下文感知的策略决策：一份源自内部商业机密的文件，会被区别于一份内容相同但来自公开来源的文件处理，从而用更少误报实现准确阻断。Large Lineage Model（LLiM）被描述为一个专用 AI 模型，训练数据是谱系图而不是通用文本，因此与公司特定架构绑定，具有专有性。公司称 LLiM 支持预测性风险检测（在策略违规发生前识别高风险模式）。公开记录没有确认这些技术的专利申请；公司也没有披露专利组合。EDM（Exact Data Match）能力允许企业为特定敏感数据集（结构化数据、源代码）生成指纹并精准追踪，从而减少基于正则方法带来的误报。独立评价数据支持其差异化主张：PeerSpot 在 DLP 中的心智份额从 1.5% 同比升至 2.3%，Gartner Peer Insights 显示 48 条评价给出 4.6/5，G2 显示 18 条评价给出 4.5/5，FeaturedCustomers 显示 17 条客户证言和 1 个案例研究。Motorola 报告称，部署 Cyberhaven 后误报减少 90%、调查时间减少 98%、高风险事件减少 90%。 [CE007, CE008, CE009]

5.5 信任、安全、合规与质量控制

Cyberhaven 的 Trust Center（trust.cyberhaven.com，由 SafeBase 提供支持）列出四项合规框架：CCPA、GDPR、PCI DSS v4.0.1 和 SOC 2 Type 2（含有效至 2026 年 1 月的 SOC-2 Bridge Letter）。应用渗透测试、网络保险和子处理方清单可按客户要求提供。安全政策描述了 GCP 托管且客户隔离的实例、TLS 加密的传输中数据、通过 GCP key management 的静态加密，以及使用 Google Security Command Center 对 Kubernetes 原生安全进行 24/7 MDR 监控。身份认证选项包括 Google SSO（OAuth2）、强制 2FA 的密码，以及 SAML 2.0。RBAC 支持普通用户和管理员。代码部署要求同行评审，并至少由另一名工程师进行安全审计。开发人员必须参加年度 OWASP Top 10 安全代码培训。公司报告其在 Qualys SSL Labs 上获得 A+ 评级。2024 年 12 月 Chrome 扩展事件（恶意版本 24.10.4，影响约 400,000 名用户）表明，扩展分发渠道存在独立于 GCP 后端的供应链风险。Mandiant 受聘进行事件响应；联邦执法部门已收到通知。公司在 24 小时内发布干净版本（24.10.5）。截至研究日，尚无因该事件产生的诉讼、SEC 执法行动或监管罚款被公开披露。 [CE009, CE010, CE011]

5.6 展项

6.1 客户基础与分层

Cyberhaven 服务六个行业的大型企业：Technology/SaaS、制造、法律 / 专业服务、金融服务、医疗健康，以及政府 / 国防。经媒体报道和案例研究确认的具名客户包括 Snowflake、Motorola、Canon、Reddit、AmeriHealth、Cooley、IVP、Navan、DBS、Upstart、Kirkland & Ellis、Iron Mountain、DARPA 和 IDA，共 14 家。所有客户都是员工超过 1,000 人的大企业；没有证据显示其拥有 SMB 或中端市场客户。官网把行业营销明确拆成五个具名垂直领域：Technology/SaaS、制造、律师事务所、投资管理和医疗健康，说明其刻意选择垂直化销售路径，而不是横向通用定位。地域以美国为主（14 个具名客户中 12 个总部在美国），同时至少一家亚洲金融机构（新加坡 DBS）显示其已开始国际扩张。 [CU001, CU002, CU003]

6.2 具名客户背书与成效

Motorola 是公开资料中最详尽的客户案例。CISO Richard Rushing 认为 Cyberhaven 带来了 DLP 误报减少 90%、单次事件调查时间减少 98%、可行动安全告警增加 50%。这些指标对应核心产品主张：相比只做内容检测的 DLP 工具，数据血缘上下文能大幅压低误报。企业差旅与费用 SaaS 平台 Navan（原 TripActions）部署 Cyberhaven 来保护财务和员工数据，安全副总裁 PK Karanth 是具名背书人。Iron Mountain 用 Cyberhaven 监控全球记录管理和云存储基础设施中的数据流。FeaturedCustomers 记录了 17 条已验证推荐和 1 个案例研究，953 个参考评分合成得分为 4.8/5。FeaturedCustomers 还列出 DARPA 和 Institute for Defense Analyses（IDA）为客户，确认其已打入美国联邦政府。2024 年 12 月恶意扩展事件波及约 400,000 名企业用户，可作为企业客户群终端部署规模的下限估计。 [CU003, CU004, CU005]

6.3 客户满意度与评分

Cyberhaven 在独立平台上的评分持续较高。Gartner Peer Insights 上，该平台来自 48 条已验证企业评论的评分为 4.6/5，高于多数传统 DLP 厂商（Symantec 约 3.8、Forcepoint 约 3.9、Microsoft Purview 约 4.0）。FeaturedCustomers 报告 953 个参考评分的综合得分为 4.8/5。G2 显示 18 条评论评分 4.5/5（2021 年快照；当前可能更高）。PeerSpot 上 DLP 心智份额从 2024 年约 1.5% 增至 2026 年 5 月的 2.3%，体现评论自然累积。定性评论反复提到几项优势：实时数据流可视性、误报负担下降、借助 MDM 和 Google Workspace 管理后台快速部署，以及调查速度提升。常见批评集中在本地部署选项有限、SIEM 集成深度不足。 [CU005, CU006, CU007]

6.4 留存、扩张与集中度风险

Cyberhaven 未公开披露 NRR、GRR 或客户流失指标。2024 年 12 月 Chrome 扩展事件影响约 400,000 名企业用户，但公开资料中没有客户流失报道。Cyberhaven 的应对——聘请 Mandiant、24 小时内发布干净扩展、主动通知客户——似乎控制住了留存损伤。扩张遵循先落地再扩张模式：初始 DLP 部署会随着安全计划成熟，扩展到 DSPM、Insider Risk Management（IRM）和 AI Security 模块。2026 年 4 月，Cyberhaven 上架 AWS、Azure 和 GCP Marketplace，为已有云承诺支出的企业买家拓宽采购通道。客户集中度风险可见：Motorola 是唯一完整量化成效的案例；相较同等 $1B 估值公司，14 个公开具名账户的披露基础有限。头部客户收入集中度无法验证；这一阶段的企业安全公司通常有 100–500 个客户。 [CU007, CU008, CU009]

6.5 奖项、分析师认可与竞争定位

Cyberhaven 已积累有意义的第三方验证。Gartner 将其评为数据安全 Cool Vendor。2025 年 Deloitte Technology Fast 500 按收入增长率把它列入北美增长最快的科技公司之一。Fortune 将 Cyberhaven 纳入 2025 Cyber 60 榜单。Redpoint Ventures 连续三年把它列入 InfraRed 100 基础设施安全榜。Cyberhaven 2024 年获得 Black Unicorn 身份，并于 2025 年 4 月跨过 $1B 估值。PeerSpot 心智份额从 1.5% 升至 2.3%（2026 年 5 月），是被跟踪的新兴 DLP 厂商中最高的增长率。竞争对手 Symantec、Forcepoint 和 Microsoft DLP 的 Gartner Peer Insights 评分（3.8–4.1）低于 Cyberhaven 的 4.6，尽管各自装机基础大得多。 [CU009, CU010, CU011]

6.6 展示材料

7.1 监管与法律风险

Cyberhaven 所处的数据处理类别监管极重：软件会检查、拦截并记录端点、云服务和网络通道中的员工与企业数据流。这触发 GDPR（EU 2016/679）、CCPA/CPRA（California）、PCI DSS v4.0.1、客户为受覆盖实体时的 HIPAA，以及 FTC Act 第 5 条下 FTC 广泛的数据安全权限。2023 年 SEC 网络安全披露规则要求 Cyberhaven 的企业客户报告重大事件，也间接迫使 Cyberhaven 交付快速、可留痕的泄露响应；2024 年 12 月事件已经检验了这项能力。 只要 Cyberhaven 处理欧盟数据主体的个人数据，GDPR Article 28 的处理者义务和 Article 32 的安全要求就适用。金融、医疗、法律等受监管行业客户会通过数据处理协议把下游合规要求传导给 Cyberhaven。Cyberhaven 若不合规，可能让客户面临监管机构执法，引发合同终止和声誉损害，其影响会超出任何直接罚款。GDPR Article 83(5) 对最严重违规的罚款可达 EUR 20M 或全球年营业额 4% 二者中较高者。 2024 年 12 月 Chrome 扩展被攻陷（v24.10.4）后，TopClassActions 记录了至少一起集体诉讼，指称约 400,000 名企业用户的 OAuth 凭证暴露。诉讼风险具有实质性：和解成本、诉讼费用和负面曝光可能削弱销售周期和续约率。IP 风险中等，因为 Cyberhaven 持有数据血缘跟踪专利，但随着 Symantec、Microsoft Purview 等在位厂商纳入血缘功能，新颖性窗口正在收窄。 [CR001, CR002, CR003]

7.2 运营与安全风险

首要运营风险来自架构：Cyberhaven 的端点覆盖依赖 Chrome 浏览器扩展。2024 年 12 月，攻击者攻陷开发者 OAuth token，并把恶意版本（v24.10.4）推送到 Chrome Web Store，这一分发通道绕过了传统端点安全控制。该扩展上线约 24 小时后，Cyberhaven 发布干净的 v24.10.5，并聘请 Mandiant 做取证调查。事件暴露了浏览器扩展供应链的根本脆弱性：单个开发者凭证被攻陷，就能在没有逐客户审批流程的情况下触达每一个已部署实例。 Google Chrome 约占全球浏览器市场 65%，因此是企业 DLP 代理的理性主通道，但也制造了平台依赖。Chrome Manifest v3 迁移改变了 API 可用性，未来政策变化可能限制扩展可用的网络拦截深度。Cyberhaven 提供一个可通过 MDM 安装的独立网络 DLP 代理，能部分缓释仅依赖扩展的风险，但该代理并未在所有客户中普遍部署。 GCP 单云依赖带来集中度风险：GCP 区域故障或价格重新谈判都会限制灵活性。基础设施部署在美国 GCP 区域，并采用逐客户隔离实例设计；这种设计限制爆炸半径，但提高运营开销。DevOps 关键人风险中等，约 350 人的工程团队掌握专门的数据血缘图谱经验，短期内难以替代。关键数据科学或基础设施工程师流失会拖慢路线图。 [CR003, CR004, CR005]

7.3 合作伙伴与依赖风险

当前规模下，Cyberhaven 的商业化获客依赖直营企业销售团队，渠道或合作伙伴杠杆有限。这让公司依赖一支小型销售团队，也限制地域扩张速度。与 MSSP 和 SI 的合作仍处早期；Symantec 和 Forcepoint 等竞争对手拥有数十年 MSSP 关系，无需直接销售投入也能带来续约收入。 供应链暴露不止 2024 年 12 月扩展事件。Cyberhaven 依赖第三方 OAuth 提供商、Chrome Web Store 发布流水线，以及上游 GCP 基础设施。每一项都代表不同失效模式：类似 2024 年发生的 OAuth token 被攻陷、Chrome Web Store 审核延误阻塞紧急补丁，或 GCP 服务中断拖累产品可用性。此次 Chrome 扩展供应链攻击影响了 Cyberhaven 之外约 35 个扩展，说明这是系统性行业威胁，而非定向攻击；但按用户数看，Cyberhaven 是最大受影响厂商，因此承担了不成比例的声誉暴露。 资本提供方依赖目前较低：2025 年 4 月 $100M Series D 按假设烧钱速度提供约 18–24 个月现金续航期，降低短期融资风险。不过，StepStone Group 和 Schroders Capital 是财务投资者，在企业 SaaS 运营支持能力上的公开披露有限。若竞争替代或监管制裁触发降估值融资，将通过水下期权显著削弱员工留存，并降低客户信心。 [CR005, CR006, CR007]

7.4 人才与执行风险

Cyberhaven 由 Howard Hua、Georgy Gritschuk 和 Volodymyr Kuznetsov 于 2016 年创立。数据血缘图谱概念在技术上有差异化，但执行取决于留住搭建该架构的核心工程团队。这个阶段的创业公司通常会在资深工程师股权归属时面临实质流失风险；$1B 估值的 Series D 提供了一定流动性选择，但也意味着早期期权持有人需要更高退出门槛，才会获得有意义收益。 销售执行风险显著：Cyberhaven 总融资 $250M、估计 ARR 约 $100M，意味着增长路径相对资本高效；但打入 Fortune 500 账户需要经验丰富的企业销售，能推进 DLP 替换交易。DLP 替换销售周期长，通常 12–18 个月，需要法务和安全团队签字，并面对在位厂商惯性。如果 Cyberhaven 无法按节奏招聘并留住背销售指标的企业 AE，公司可能在达到 IPO 可持续规模前增长停滞。 创始三人之外，高管团队深度在公开资料中偏薄。CISO、客户成功负责人和 CFO 职能并未突出披露，使财务控制和规模化准备度不透明。2024 年 12 月事件处理——包括 CEO 透明沟通、快速补丁部署、聘请 Mandiant——运营表现强，但若再次发生事件且响应质量达不到同等水平，将严重损害企业客户信任和持续监管姿态。 [CR007, CR008, CR009]

7.5 财务风险与论点失效触发因素

财务风险集中在烧钱速度不透明和竞争性定价压力。Cyberhaven 总融资 $250M，公开来源估计 ARR 约 $100M；缺少审计财务，毛利率、NRR 和 LTV/CAC 比率都无法验证。DLP 市场正受到价格压缩：Microsoft Purview 与 M365 E5 捆绑，边际成本接近零；Symantec 也在续约时大幅折扣。如果 Microsoft 把可比数据血缘能力嵌入原生工具，Cyberhaven 的溢价定价会面临替代压力。 已有缓释措施包括 SOC 2 Type 2 认证及 2026 年 1 月出具的 Bridge Letter、PCI DSS v4.0.1 合规、逐客户隔离的 GCP 实例、2024 年 12 月后改进 Chrome 扩展代码签名，以及文档化事件响应手册。这些措施降低运营风险，但没有消除 2024 年事件带来的监管或诉讼暴露。 五个论点失效触发因素值得跟踪。第一，18 个月内出现第二起重大安全事件，很可能引发企业客户流失和监管调查。第二，如果 Google 限制 Manifest v3 API，导致扩展深度内容检测能力被削弱，公司将需要多年代理架构重做。第三，Microsoft 在 Purview E5 中嵌入生产级 AI 数据血缘，会削弱 Cyberhaven 的溢价定位。第四，集体诉讼和解或监管罚款超过 $30M，将消耗大量 Series D 现金续航期，并可能迫使公司进行困境融资。第五，未能获得 SOC 2 等效的欧盟认证，如 ISAE 3000 或 BSI C5，将阻断受监管欧盟企业扩张。 [CR009, CR010, CR011]

7.6 展示材料

8.1 投资论点与反论点

投资论点建立在三根支柱上：（1）在 AI 原生数据血缘 DLP 中的品类领导地位，这是一种在位厂商尚未在生产规模复制的差异化路径；（2）可展示的企业牵引力，包括 14+ 个具名 Fortune 500 账户和第三方验证评分（Gartner 4.6/5、FeaturedCustomers 4.8/5）；（3）$1B 估值入场点，对一家估计高双位数增长、并受 AI 驱动数据扩散和监管合规收紧顺风支撑的公司而言，相当于合理的 10x ARR 倍数。 反论点集中在四个重大风险。第一，2024 年 12 月 Chrome 扩展供应链攻陷仍是未解决的声誉事件，集体诉讼仍在进行，监管调查状态未知。第二，Microsoft Purview 的在位厂商地位（与 M365 E5 捆绑、边际成本接近零）构成持续定价威胁，可能把 DLP 市场商品化。第三，Cyberhaven 的财务指标（NRR、毛利率、流失）完全不透明，无法从公开来源验证假设中的增长和留存画像。第四，产品依赖 Chrome 扩展架构；除非 Cyberhaven 迁移到内核级或 MDM 部署的代理模型，否则会引入结构性反复出现的供应链攻击面。 支撑论点的因素包括 Cyberhaven 在 2024 年 12 月展现出的事件响应能力（24 小时补丁、聘请 Mandiant、CEO 透明沟通）、不断提升的心智份额（PeerSpot 2.3%，高于此前 1.5%），以及 2025 年 4 月 Series D 估值重置发生在事件之后，说明投资者信心吸收并定价了 2024 年事件。 [CV001, CV002, CV003]

8.2 可比估值分析

Cyberhaven 以估计 $100M ARR 对应 $1B 估值，隐含 10x ARR 倍数，约 9–10x NTM 收入倍数（假设增长 30–40%）。相较公开可比公司，这一水平有利。CrowdStrike（CRWD）报告 FY25 ARR 为 $4.24B、增长 23%，交易约 29x NTM P/S 和 12x ARR；其溢价反映主导地位和多产品平台。Palo Alto Networks（PANW）下一代安全 ARR 达 $5.6B、增长 32%，规模更大，交易约 14x NTM P/S。Zscaler（ZS）报告 Q3 FY25 ARR 约 $2.9B、增长 23%，交易约 9x NTM P/S。Rubrik（RBRK）报告 FY25 ARR 为 $1.09B、增长 39%，市值 $8B+，交易约 9x NTM P/S。 Cyberhaven 这一阶段的企业安全 SaaS 私募市场交易，通常在 ARR 确认超过 $80M、NRR 超过 110% 时给出 8–15x ARR 倍数。Cyberhaven 的 10x ARR 倍数位于区间中部，但只有在 NRR 确认超过 100%、毛利率超过 70% 时才站得住。没有审计财务时，10x 倍数带有明显不确定性溢价；若单位经济得到确认，牛市情景下可支持扩张到 12–15x ARR。 Grand View Research 估计，DLP 市场 TAM 在 2024 年为 $5.7B，到 2030 年增至 $7.1B（CAGR 3.7%），该口径针对纯 DLP；MarketsAndMarkets 预测更宽的数据安全市场从 $21.1B 增至 2029 年 $34.4B（CAGR 10.3%）。Cyberhaven 的 AI 原生数据血缘路径瞄准更宽的数据安全市场，而不是仅限传统 DLP，因此支持更高 TAM 框架。 [CV003, CV004, CV005]

8.3 牛市 / 基准 / 熊市情景

牛市情景假设 Cyberhaven 到 2028 年仍以 50–60% 的年增速扩大 ARR，达到 $400–600M ARR。在该情景下，Microsoft 未能交付有竞争力的数据血缘 DLP 产品，未发生重大安全事件，NRR 保持在 120% 以上，Cyberhaven 国际化进入欧盟和 APAC 受监管企业。按 8–12x ARR 计算，2028 年估值为 $3.2B–$7.2B，对应相对 $1B Series D 估值的 3–7x 回报。退出路径包括 IPO（如果 ARR 达到 $400M+ 且已证明利润率）或被 Palo Alto Networks、CrowdStrike 或 Microsoft 战略收购。 基准情景假设 ARR 以每年 30–40% 增至 2028 年 $200–300M，NRR 约 110%，毛利率约 75%，集体诉讼成功但代价较高地解决（和解额低于 $15M）。按 5–7x ARR 计算，估值区间为 $1B–$2.1B，相对当前入场为 1–2x 回报。该情景需要 Microsoft Purview 维持较弱竞争力，且不发生第二起重大安全事件。 熊市情景由第二起重大 Chrome 扩展攻陷、GDPR/FTC 执法行动，或 Microsoft 在 Purview E5 中推出数据血缘功能触发。在该情景下，ARR 年增长停滞在 10–20%，到 2028 年仅达到 $120–150M。企业客户开始流失，NRR 跌破 100%。按 3–5x ARR 计算，估值将为 $360M–$750M，显著低于 $1B Series D 入场，意味着降估值轮和重大资本减值。 [CV005, CV006, CV007]

8.4 融资背景与稀释分析

Cyberhaven 多轮融资合计 $250M，其中 2025 年 4 月 Series D 为 $100M，投后估值 $1B。这意味着 Series D 约带来 10% 稀释（投前 $900M，本轮 $100M）。更早轮次未公开详细披露，但总融资额说明此前已有多轮机构融资；从种子轮到 Series D 的累计稀释在这一阶段公司中通常为 60–70%，意味着创始人和早期员工可能持有 $1B 估值中的 30–40%。 优先权堆栈分析：在 $1B 估值、总融资 $250M 下，清算优先权覆盖约为 4x（250/1000 = 估值的 25%）。若降估值退出估值为 $500M，优先股投资者将收到约 $125–187M（取决于参与权，约占退出所得 50–75%），对普通股股东和早期员工造成实质稀释。该优先权悬顶提高了实现 $1B+ 退出的紧迫性，以维持员工留存和士气。 Series D 投资者（StepStone Group、Schroders Capital、Industry Ventures）是财务投资者，未披露战略收购方关系，降低了近期以溢价估值 M&A 的概率。假设继续增长且没有重大不利事件，$400M+ ARR 时的 IPO（可能在 2028–2030 年）是主要退出路径。 [CV007, CV008, CV009]

8.5 建议、退出准备度与最终尽调问题

建议：有条件继续研究，且证据要求高。Cyberhaven 是 AI 原生数据血缘 DLP 中有吸引力的品类领导者，产品差异化、客户验证强，并踩上智能体 AI 安全浪潮。若确认 ARR 增长和单位经济能支撑论点，$1B Series D 入场价具备可辩护性。不过，投资前必须满足三个条件：（1）取得经审计或董事会验证的财务报表，显示 NRR 高于 105%、毛利率高于 70%；（2）取得受法律特权保护的集体诉讼评估，且最大量化暴露低于 $20M；（3）取得工程管理层确认，事后 OAuth 加固和代码签名改进已实质降低 Chrome 扩展再次被攻陷的概率。 退出准备度目前为中等。Cyberhaven 具备 IPO 叙事所需的客户名称和增长轨迹，但缺少公开市场要求的财务透明度（审计报表、CFO 履历）。如果公司能从当前估计 $100M 基数再把 ARR 翻两番，2028–2030 年 IPO 窗口具备合理性。若 CrowdStrike 或 Palo Alto Networks 希望把 AI 数据血缘 DLP 纳入平台组合，$200–500M ARR 阶段的战略收购仍是可行退出。Microsoft 理论上也可能收购，但考虑到其自身 Purview 投入，可能性不高。 五个最终尽调问题是：披露 NRR 和毛利率；法律顾问给出的诉讼暴露上限；OAuth / 扩展架构安全评估；GCP 基础设施和可用性文档；以及客户 ARR 集中度（前 5 和前 10 大客户占比）。 [CV009, CV010, CV011]

8.6 展示材料