Aikido 收購 Cyberly 將軟件安全延伸至員工保護

Aikido 收購波蘭公司 Cyberly，以拓展至軟件安全以外的領域，將員工保護納入過去主要聚焦保障程式碼安全的業務。Aikido Cyberly 收購於 2026 年 9 月完成，並於 10 月 20 日與 Noon 一同公布，將員工攻擊模擬納入這項擴展。其核心主張直接明確：即使保護了應用程式，若攻擊者能說服獲授權使用該程式的人，仍會留下重要缺口。

Noon 將 Cyberly 與比利時安全公司 Outkept 結合。Aikido 表示，新業務整合電郵保護、裝置保護、AI 使用管治及員工培訓。這個組合挑戰了由不同團隊分別處理軟件漏洞、可疑訊息、員工行為及工作場所 AI 工具的分割式做法。

競爭參照對象是 KnowBe4，該公司早已推廣自動化、個人化的安全培訓。因此，Aikido 進入的是一個已有成熟替代方案的市場，而非發現一個尚未有人涉足的類別。其機會建基於連結日常工作中的保護與培訓。收購公告確立了策略，但未能證明其保護能力更優勝。

Aikido 收購 Cyberly 帶來甚麼

這項收購為 Aikido 建立了員工安全的基礎，將其範圍延伸至軟件開發流程以外。

根據該公司的員工安全發布公告，Cyberly 提供由 AI 驅動的攻擊模擬，以及對員工 AI 使用情況的可見度。Outkept 則提供電郵安全及釣魚攻擊意識培訓。釣魚攻擊會利用欺騙性訊息誘使人們採取行動，例如洩露登入憑證或開啟惡意連結。

該公司表示，兩宗收購均於 2026 年 9 月完成。10 月 20 日是 Noon 的公開發布日，而非交易完成日期。評估合併業務有多少時間整合其技術時，區分這些日期十分重要。

Aikido 報稱，Cyberly 過去曾為超過 200 間機構的逾 300,000 名員工提供保護。Outkept 則服務逾 1,000 間機構，涵蓋超過 100 個國家的 250,000 名用戶。這些是公司自行報告的歷史數字，而非經獨立核實的 Noon 採用程度指標。

這些數字不應直接相加。機構客戶可能重疊，而「受保護員工」未必與「服務用戶」採用相同的計算方式。兩個數字都未有披露多少客戶已採用整合後的平台。

實際改變在於 Aikido 希望影響的安全決策範圍。軟件安全採購關乎機構建立和營運的系統。員工保護亦涉及員工如何溝通、驗證身分、安裝工具及處理資訊。

這個更廣泛的範圍改變了買家對公司的預期。漏洞發現可以指向需要處理的特定軟件元件。員工風險發現則需要就情境、權限、業務需要及合適介入方式作出額外判斷。

收購亦改變了 Cyberly 的策略定位。其技術成為更廣泛方案的一部分，而非獨自承載整個客戶價值主張。原則上，這讓攻擊模擬可連接至保護控制及營運工作流程。

不過，擁有權不會自動建立這種連接。買家仍須分辨共用品牌與共用管理、協調回應及一致政策之間的差異。即使市場推廣將其呈現為單一產品，所收購的能力組合仍可能只是組合。

因此，Aikido 收購 Cyberly 最適合被理解為責任範圍的擴展。Aikido 要求客戶考慮由其處理涉及全機構員工的風險。這對公司提出的要求，遠多於在既有軟件安全工作流程中加入另一個掃描器。

安全團隊面對更廣泛的員工保護決策

Noon 促使買家把員工保護視為營運系統，而不只是培訓要求。

直接受眾包括已經協調多類工作場所保護措施的安全主管。電郵管理員、身分識別專家、員工培訓負責人及裝置團隊，從不同方向處理相關風險。整合式產品為重新檢視這些分工提供理由。

這不代表每間機構都應整合供應商。專門工具可能更能滿足特定要求。真正相關的問題是：分隔會否造成整合系統能夠實際填補的缺口。

設想一名財務員工收到緊急要求，要求更改供應商的付款資料。訊息可能看似可信、在繁忙時段送達，並提及熟悉的業務活動。員工的決定固然重要，但審批規則及獨立核實請求的能力也同樣重要。

培訓平台可協助員工辨識可疑的施壓手法。電郵控制措施可嘗試攔截訊息。付款工作流程則可防止未經核實的變更成為已完成交易。

這些介入措施處理同一宗潛在事故中的不同環節。把當中任何一項視為足夠，都會忽略其他環節。這正是對 Aikido 擴展至員工保護最有力的詮釋。

這亦解釋了為何該公告與安全部門以外的人士有關。財務、人力資源及支援團隊即使不撰寫或管理軟件，也可能成為攻擊中的決策節點。他們日常擁有的權限，令其工作流程與安全息息相關。

買家在評估階段便會承受即時壓力，即使尚未考慮更換任何產品。更廣泛的平台提案要求他們確定誰負責整合後的成果。否則，新控制台可能只會成為另一項責任，無法解決現有的協調問題。

對較小型機構而言，潛在吸引力在於減少行政交接。對較大型機構而言，挑戰在於將整合式產品納入既有職責及控制措施。這是不同的採購情境，同一套整合論點未必同時適合兩者。

工作場所 AI 為這項決策增加另一層面。員工可在日常生產力活動中洩露資訊，而毋須遇上欺詐訊息。因此，將 AI 使用政策與員工保護連結，會令問題超越識別騙案。

這種擴展值得設下審慎界線。並非每個員工錯誤都是攻擊，也並非每件未經授權的工具使用都代表惡意意圖。若安全計劃把所有異常活動一視同仁，便可能為正當工作造成負擔。

對員工而言，易於取得的指引仍是營運圖景的一部分。可搜尋的知識庫可協助人們在請求看似不尋常時找到獲批准的程序。它支援清晰的回應流程，而機構仍須負責定義該流程。

Aikido 的主張延伸至這個組織界線。其成功部分取決於客戶能否把技術控制措施與人們在壓力下作出的決定連結起來。銷售更廣泛的功能組合並不能解決這個問題，但會令問題無可迴避。

Noon 將模擬與保護及 AI 政策連結

建議的運作機制是協調：以保護控制措施、員工演練及 AI 政策，在同一營運模式下處理相關風險。

Aikido 的員工保護功能介紹個人化模擬，涵蓋電郵、語音、短訊及深偽內容。深偽內容是可模仿真人的合成聲音或視覺媒體。該公司亦介紹透過工作場所通訊工具提供課程。

其公告把電郵威脅移除、裝置保護及工作場所 AI 使用控制描述為互補能力。這些是公司對產品預期範圍的描述，不應被誤當為有關偵測準確度或預防成效的獨立研究結果。

背後的邏輯不難理解。演練可揭示員工在哪些方面需要支援。政策可界定獲批准的行動。當員工遇到風險情況時，保護控制措施可以介入。

價值將來自讓這些元素彼此強化。與實際工作流程脫節的培訓，可能只能教授抽象規則，卻無法化解員工面對的壓力。與員工回饋脫節的保護措施，則可能錯過有關令人困惑或可疑活動的有用情境資訊。

一個假設的支援情境說明了當中的差別。有人冒充員工，要求緊急進行帳戶復原操作。真正貼近現實的演練，應測試支援人員是否遵循獲批准的核實程序，而非判斷來電者的聲音是否具說服力。

若機構有清晰且可行的核實程序，這種演練會更有用。否則，培訓只是要求員工彌補缺失的控制措施。不論哪個供應商提供模擬，這個限制同樣適用。

Aikido 收購 Cyberly 令這種關係成為產品敘事的核心。Cyberly 提供建立面向員工的攻擊情境的經驗。合併後的業務必須把這些情境轉化為超越演練本身的改善。

AI 使用可見度帶來另一個協調問題。知道員工正在使用某項工具，與知道某項特定活動是否違反政策，是兩回事。封鎖該活動則是進一步能力，需要可靠的情境資訊及適當權限。

因此，買家在評估公告時應區分發現、詮釋及執行。一個平台可以提供可見度，卻未必能作出精準介入。政策儀表板可以描述預期規則，卻未必展示規則的執行一致性。

這個分別亦關乎員工信任。收到安全提示的人需要明白所要求採取的行動。若指示與既定工作流程衝突，機構需要有清晰方法解決衝突。

假設一名員工正在處理機密客戶備註，並收到指引，不應將其提交至未獲批准的 AI 服務。有用的結果是提供完成工作的獲批准途徑。沒有該途徑的重複警告，可能造成摩擦，同時未能解決底層業務需要。

正是在這裡，運作機制比標題更具挑戰。生成逼真的演練是一項工作；維持員工指引、保護行動與業務流程之間連貫的關係，則是另一項工作。

Aikido 的擴展可視為嘗試將這些工作連結起來，而這樣做是合理的。現有公告說明了其擬議的整合方式，但客戶仍須自行評估已部署產品實際具備多少協調能力。

KnowBe4 已提供自適應培訓

Aikido 面對的競爭挑戰，是要在個人化、自動化培訓早已存在的市場中，證明其整合工作流程更勝一籌。

KnowBe4 於 2026 年 2 月 24 日透過其 AIDA Orchestration 產品宣布推出自適應安全培訓。該公司表示，產品會根據個人風險概況建立並排程個人化網絡釣魚測試及培訓，亦說明管理員可如何控制這項自動化計劃。

這為解讀 Noon 提供重要參考。個人化及自動化活動管理已是競爭對手所聲稱提供的功能。它們出現在 Aikido 的策略中，本身並不能證明其具備獨特的技術優勢。

兩家公司對成效的說法都需要同樣嚴謹地審視。產品公告描述的是預期行為及商業定位，並不構成受控比較，無法顯示哪一項產品能更有效減少事故。

這場主要競爭不僅是 Aikido 與 KnowBe4 之爭，更關乎協調式勞動力保護相對於分開管理控制措施的價值主張。KnowBe4 提供競爭背景，而 Aikido 提議的整合仍是核心問題。

對買家而言，這會令比較重點由功能數量轉移。多款產品都可宣傳模擬、個人化及管理自動化；更有用的分別在於啟用這些功能後，還剩下哪些工作需要處理。

管理員仍可能要核對互相衝突的僱員紀錄、解讀分開的風險評分，或在不同系統之間轉移發現結果。整合平台只有在不削弱客戶所需控制措施的前提下，減輕這些負擔，才算真正具備價值。

Aikido 亦面對其策略固有的範圍問題。覆蓋範圍愈廣，簡化管理的機會愈多；但同時也會增加部署、權限、支援及產品一致性方面的責任。

專門供應商可將開發資源集中於較窄的問題；較全面的供應商則必須說明，其更廣的覆蓋如何充分改善結果，以合理化額外範圍。兩種做法都不會自動勝出。

同樣道理亦適用於現有客戶關係。已使用 Aikido 處理軟件安全的公司，有理由研究 Noon。這種關係可促成對話，但不代表產品必然適合僱員保護。

不同部門可能負責作出決定，所需證據亦可能不同。對軟件漏洞處理的信心，並不會自動延伸至僱員監察、培訓設計或職場政策執行。

因此，競爭機會在於實際執行。Aikido 可透過清晰部署安排、有用的協調機制，以及客戶能有效營運系統的證據來建立論據。泛泛而談使用 AI，解釋力會較低。

這項比較亦淡化了舊有供應商必然停滯不前的想法。KnowBe4 的公告顯示，成熟供應商同樣正推進自動化及個人化。Aikido 進入的是一場關於僱員保護應如何運作的活躍競爭，而非等待首個 AI 產品出現的市場。

真實模擬並不代表事故風險較低

核心不確定性在於，這項整合產品是否能在製作具說服力的演練及簡化管理以外，真正改善安全成效。

模擬衡量的是人在建構情境中的表現；事故則涉及不斷變化的環境、業務壓力及演練以外的系統。在一種情境下的改善，須經審慎解讀，才可支持對另一種情境作出的說法。

例如，較低失敗率可反映僱員判斷力提升，也可能是由於情境較簡單、範本較熟悉，或參與演練的人員有所改變。有意義的比較須有足夠背景資料，以區分這些解釋。

這是分析上的限制，並非反對 Cyberly 技術的證據。所檢視的發布材料並未提供獨立的比較評估，以確立 Noon 的成效。因此，雖然收購本身已獲確認，成果方面仍存在證據缺口。

一宗有記錄的攻擊可提供有用參考。Microsoft 對薪酬帳戶攻擊的調查，描述大學僱員帳戶遭入侵後被用來重設薪金付款方向。攻擊者亦透過建立收件匣規則隱藏通知電郵。

Microsoft 將相關活動歸因於 Storm-2657，並說明這並不代表 Workday 本身存在漏洞。該案例連結了僱員受騙、帳戶存取、郵箱活動及具重大後果的業務行動，說明培訓只是防禦問題的一部分。

該案例並不顯示 Noon 本可阻止這次攻擊。它提供一個具體例子，可用來檢視廣泛的勞動力安全主張。任何預防說法均需要更多關於已部署控制措施及攻擊條件的證據。

驗證仍是另一項獨立考慮。Microsoft 的抗網絡釣魚驗證指引強調通行密鑰及安全金鑰等方法。這些方法使用加密憑證，而非只依賴僱員可能向欺騙網站透露的代碼。

培訓與驗證處理不同的失效模式。僱員可以辨認可疑要求，但仍需要安全的應對方法。技術控制措施可阻止竊取憑證的嘗試，卻未必教導僱員如何處理另一類詐騙。

因此，應將整合產品與既有控制措施一併評估。減少培訓管理工作，並不代表驗證能力更強；更逼真的模擬來電，也不代表帳戶復原或付款審批更安全。

私隱及僱員信任亦帶來額外評估問題。個人化計劃必然會決定不同人士應接受哪些干預。買家需要清楚了解所使用的資料、存取權限，以及如何更正不準確的假設。

這些問題並不代表 Noon 不當處理僱員資料，而是指出廣泛的僱員保護平台需要提供清晰文件的範疇。承諾的範圍本身帶來了這種清晰度的需要。

Aikido 收購 Cyberly 亦帶來整合不確定性。既有客戶關係證明已收購業務先前曾被採用，但不能證明客戶已成功遷移至整合產品。客戶需要具體了解支援、設定延續性及工作流程變更。

審慎解讀應保留故事的兩面。Aikido 已收購相關能力，並提出連貫的擴展方向；本文檢視的公開證據，尚未證明整合這些能力已比其他安排帶來更佳保護。

Noon 推出後值得留意的事項

最有用的訊號，是清晰的部署安排、可量度的客戶成果，以及已收購產品能協同運作的證據。

首先，未來數月應留意具體的部署資訊。買家需要知道哪些能力已可使用、它們需要哪些權限，以及如何與現有安全工具互動。清晰界線會讓人更容易按產品實際範圍評估它。

若客戶毋須從不同公告中自行拼湊便能理解產品，這訊號會加強 Aikido 的論據；若關鍵功能仍然含糊，或需要無關的管理程序，整合主張便會被削弱。

供應狀態亦值得精確表述。公開發布可描述整個產品方向，但客戶實際上可能會分階段取得個別能力。買家應評估自己可部署的功能，而不是假設所有已宣布功能都有相同成熟度。

其次，應留意能說明如何量度成果的客戶證據。有用的報告應指出部署背景、觀察期及已經實施的控制措施，並區分營運節省與安全表現的變化。

節省管理時間可支持 Aikido 論據的一部分；更及時的僱員報告、更妥善處理可疑要求，或更清晰的事故協調，則可支持其他部分。這些成果應分開說明，而不應合併為單一成功標籤。

若證據只提供培訓完成率或未有解釋的風險評分，其資訊價值會較低。這些指標可描述計劃活動，卻未能顯示僱員及系統如何應對真實威脅。

比較亦須考慮環境變化。客戶引入新培訓平台時，可能同時改善驗證方式或修訂審批程序。把其後所有改善都歸因於平台，會誇大證據所顯示的內容。

第三，應留意現有 Cyberly 及 Outkept 客戶如何體驗整合後的業務。政策一致、管理方式易懂及支援延續，均可佐證整合故事；持續需要人手核對，則反映仍有工作尚待完成。

Aikido 策略最有力的版本，是透過客戶可理解的工作流程，將偵測、僱員指引及保護行動連結起來。較弱的版本，則是把有用產品歸於共同名稱之下，卻仍要客戶自行負責把它們連接起來。

單憑收購公告，無法推斷任何一種結果。下一步證據應來自部署情況及客戶體驗，而不只是更廣泛的功能清單。

對於正考慮 Aikido 收購 Cyberly 的機構，應先找出現有控制措施最難妥善處理的事故及決策。將已宣布能力與這些缺口比較，並詢問哪些功能可在你擬採用的部署方式中使用。要求提供能區分節省時間與降低風險的證據，並具備足夠背景以評估兩者。應讓面向僱員的團隊參與討論，因為他們將會面對由此產生的提示、政策及回應流程。在整個評估過程中，持續留意驗證、帳戶復原及業務審批。真正有用的採購問題很具體：與目前安排相比，這個整合系統是否有助你的機構阻止危險行動，或更有效地作出回應？