Те, кто в индустрии кибербеза достаточно давно, конечно же помнят период 2012—2018, когда появилась целая плеяда Next Gen AV – CrowdStrike, Cylance, SentinelOne, Tanium. Все как один отстраивали себя от «старых» вендоров заявлениями о наличии ML (сейчас бы это назвали ИИ).

Наткнулся в linkedin на потрясающую статью о том, как Cylance, скажем прямо – «просрал все полимеры». Статья в мельчайших деталях разбирает комплекс причин их провала и (самое важное!) причин успеха CrowdStrike/SentinelOne.

Для меня это оказалось настолько увлекательным чтением, что я считаю что каждый в кибербезе должен это прочитать. В общем, перевел и опубликовал. Там очень много букв, но оно того стоит 💯

Для остальных – краткое саммари:

Как Cylance проиграла войну AI-антивирусов

Cylance фактически изобрела категорию антивирусов на машинном обучении — и проиграла её. Компания первой вышла с этой идеей в 2014 году, но последней пришла к современной платформе защиты конечных точек. Главная ошибка её руководства: они приняли отдельную «фичу» (точность предсказательной ML-модели) за «ров» — устойчивое конкурентное преимущество.

Цифры рассказывают всю историю. Cylance вышла на ~$171 млн выручки к январю 2019 и продалась BlackBerry за $1,4 млрд. Через шесть лет её остатки ушли к Arctic Wolf всего за $160 млн — примерно в семь раз дешевле. За тот же период CrowdStrike вырос с $250 млн до почти $4 млрд годовой выручки, а SentinelOne — со стартапа без выручки до публичной компании и $920 млн.

Корень проблемы — архитектура. Cylance поставила на локальный анализ файлов на самом устройстве, без облака. Это было плюсом для изолированных и засекреченных сред, но стало стратегическим потолком. CrowdStrike сделала ставку на облако и глобальный «граф угроз»: новая угроза, замеченная у одного клиента, за минуты защищала всех остальных — классический сетевой эффект. SentinelOne — на автономный агент с поведенческим анализом и откатом шифрования вымогателей в один клик. Рынок щедро наградил облачную и платформенную модель, а локальную ставку Cylance наказал. Точность скоринга файлов оказалась фичей, а облачная телеметрия и модульность — основой для платформы.

Агрессивный маркетинг («Math vs. Malware», слоган «trust the math») сначала помогал, но создал «репутационный налог». В июле 2019 исследователи Skylight Cyber показали, что модель Cylance можно обмануть, добавив к вредоносному файлу строки из видеоигры — и явный вирус превращался в «безопасный» файл. Бренд, построенный на одном техническом заявлении, оказался хрупким.

Параллельно конкуренты строили платформы. CrowdStrike к своему IPO имел десять модулей на одном агенте и наращивал их через поглощения почти без издержек. Cylance же выпустила свой единственный значимый дополнительный продукт с отставанием в два года, и её локальная архитектура не масштабировалась в облачный XDR без перестройки ядра.

Продажа BlackBerry была двойной ошибкой. Через четыре месяца IPO CrowdStrike переоценило всю категорию примерно впятеро дороже. А сама BlackBerry — медленнорастущий бизнес, управляемый ради денежного потока, — не имела ни инженерной глубины, ни терпения, чтобы инвестировать в развитие Cylance. Последовали уход основателей, падение выручки сегмента и списания свыше $1 млрд.

Главные уроки выходят за рамки кибербезопасности: отличайте фичу от рва; планируйте расширение платформы до пика выручки; не продавайтесь культурно несовместимому покупателю на пике; удерживайте основателей; помните, что громкие заявления об ИИ создают хрупкий бренд, особенно там, где работает активный противник.

@gostev_future