2025年，全球企业软件中的一个安静角落出现了一个令人不安的数字：在所有由系统触发的工作流动作中，只有不到 1% 直接来自 AI 代理。当员工把关键系统的访问权交给这些代理，让它们自动执行越来越复杂的任务时，企业安全架构中一个根本性的空白暴露了出来——代理被赋权，却没有被问责的机制。权限开了，日志留了，但在代理推理的每一步，没有人能实时判断这个动作究竟是预期的业务逻辑，还是某种未被定义的越权或恶意行为。
这正是 Onyx Security 试图填充的控制断层。2026 年 7 月 29 日，这家成立仅两年的 AI 安全公司宣布完成 1.13 亿美元 B 轮融资，估值达到 6.4 亿美元。此时距离它带着 4000 万美元种子轮和 A 轮融资从隐身模式走出，刚刚过去四个月。
领投方 Bessemer Venture Partners 与跟投方 Cyberstarts、TCV、Conviction、FirstMark、Vintage Investment Partners、QuantumLight 和 G Squared 的集体下注，把这家在纽约和特拉维夫双总部运营的以色列初创公司推到了 AI 安全赛道的前沿。而 Onyx 本身的增长节奏——隐身模式退出后收入增长四倍，员工突破 80 人，与 Anthropic 达成集成协议，十数家财富 500 强客户分布在银行、科技、保险、能源等行业——让这一轮融资在投资人内部几乎没有争议。
| 字段 | 内容 |
|---|---|
| 公司 | Onyx Security |
| 轮次 | B 轮 |
| 金额 | 1.13 亿美元 |
| 投资方 | Bessemer Venture Partners（领投）、Cyberstarts、TCV、Conviction、FirstMark、Vintage Investment Partners、QuantumLight、G Squared |
| 总部 | 纽约和以色列特拉维夫 |
| 创始人 | Maxim Bar Kogan、Gil Elbaz |
| 官网 | https://www.onyx.security/ |
当代理不再只是“执行脚本”，安全模型被迫重构
Onyx Security 所切入的问题，并非传统终端安全或数据防泄漏的延伸，而是一个因 AI 代理架构特殊性而诞生的新攻击面。一个典型的自主代理在执行任务时，不是简单调用单个 API，而是在模型内部经历多步推理：理解目标、拆解子任务、生成中间指令、调用外部工具、读取返回值、再推理、再行动。这个链条的每一步都可能产生偏离预期的行为——这不一定来自外部攻击，更多时候来自模型在特定上下文中的“创造性”推理。
Onyx 的技术方案围绕一个核心设计展开：它部署了一套专有模型，专门用于监控代理的推理过程，而不是仅仅对输出结果做规则匹配或签名检测。公司宣称，这套模型能够实时跟踪代理推理的每一步，并在检测到意外或恶意行为时进行纠正。这意味着安全控制的介入点从传统的事后审计，前移到了代理“思考”的阶段。这一技术路径与当前市场上多数 API 安全网关或身份治理工具的差异化在于：网关管的是“谁能调什么接口”，Onyx 试图管的是“代理在推理时为什么会调这个接口”。
从已经披露的客户部署情况来看，Onyx 的平台覆盖了第三方代理和内部工程团队自研代理两种典型场景。以已知客户 Revolut 为例，其安全工程主管 Uros Solar 公开表示，Onyx “让我们能够在多个服务提供商之间安全使用编码代理，平台独特的方法允许我们在运行时评估和阻止威胁。” 这里的“运行时”是关键词——不是在部署前做一次权限扫描，而是在代理实际执行任务的过程中持续介入。
不过，把“监控推理每一步”作为产品承诺，需要极其庞大的工程投入。AI 代理的推理步骤可以长达几十甚至上百轮，每一轮的中间状态数据量级远超传统 API 日志。Onyx 的专有模型需要在毫秒级延迟下完成检测与纠正，否则就会成为代理执行流程中的性能瓶颈。公司没有披露该模型的延迟数据，也没有说明误报率或应对对抗性 prompt 注入的具体机制。这些参数将直接决定大型金融机构或保险公司是否敢让 Onyx 在生产环境中拦截代理动作，而不仅仅是跑在旁路做告警。
与 Anthropic 集成的双重意义：生态卡位还是技术验证
2026 年 6 月，Anthropic 宣布集成了 Onyx 的技术，帮助其企业客户安全采用 AI。这条消息同时出现在 Onyx 的官方融资公告和 CTech 的报道中，被用来佐证公司的技术壁垒。从产业链角度看，Anthropic 作为前沿模型供应商，其客户群体与 Onyx 的目标用户高度重叠。集成意味着 Onyx 的控制层可以嵌入 Claude 等模型的部署管道，让企业用户在 Anthropic 的模型服务之上直接获得代理安全控制能力。
这确实是一个高价值的渠道卡位，但它的实际杠杆率取决于集成的深度。目前公开信息只确认了“集成”这个事实，技术层面的细节——是 API 级别的调用，还是模型推理层的直接钩子，还是仅限 Anthropic 特定企业产品的合作伙伴认证——都未披露。如果集成停留在身份认证和权限管理层面，那么 Onyx 在 Anthropic 生态中的位置就容易与现有的云安全工具重叠。如果集成触及模型推理监控，那将是更深的绑定，但也意味着 Onyx 对单一模型供应商的技术依赖。公司声称已与数十家其他 AI 提供商集成，这在一定程度上能分散此风险，但 Anthropic 是目前唯一被点名的合作伙伴，其他集成的规模和深度尚不可考。
投资人为什么在四个月内给出数倍估值跳跃
Onyx 的融资节奏在当下的安全创业领域属于异常激进。公司在隐身阶段曾完成 500 万美元种子轮和 3500 万美元 A 轮，由 Cyberstarts 等早期投资者支持。B 轮 1.13 亿美元的规模与 6.4 亿美元的估值，相较 A 轮实现了数倍增长。更值得关注的是时间窗口：从 2026 年 3 月左右退出隐身到 7 月底完成 B 轮，仅间隔四个月。
CEO Maxim Bar Kogan 向 CTech 解释了这个节奏：“退出隐身标志着我们可以开始广泛销售。需求超出了我们的预期，我们很快达到了目标，这引发了巨大的投资人兴趣，使我们能够比预期早得多完成这一轮。” 这段话透露了两个关键信号：第一，公司在隐身阶段就已经完成了产品打磨和早期客户验证，退出后释放的是积压的销售管道需求；第二，投资人的兴趣并非被概念驱动，而是由具体的收入增长数字直接触发。四个月收入翻四倍这个数据点——尽管基数未披露——在 Bessemer 等以 SaaS 指标分析见长的基金内部，足够驱动一轮快速决策。
Bessemer 合伙人 Amit Karp 的表述更直接地反映了投资主题：“AI 代理正在成为现代公司运营的重要组成部分，但企业在规模化采用之前需要信任、控制和问责。Onyx 正在构建使这一切成为可能的控制层。” Cyberstarts 的 Hila Zigman 则补充道：“随着 AI 代理嵌入关键业务工作流，企业需要确保它们安全、可预测且在政策范围内运行。Onyx 正在构建的控制层将使企业级 AI 采用成为可能。我们相信这将定义未来十年最重要的安全类别之一。”
这两段来自不同阶段投资人的判断，共同指向一个逻辑：他们认为 AI 代理安全不是一个功能，而是一个独立的安全品类，且有潜力产生安全领域市值最大的公司。但值得注意的是，这种类别定义的信心建立在代理人将大规模接管企业动作的预期之上，而目前公开可见的行业数据——提到 2025 年代理执行的动作不到 1%——恰好说明市场仍处于极早期。高估值对应的是高预期，而非已验证的规模化需求。
1.13 亿美元资金将投向哪里：模型军备竞赛还是市场教育
公司明确披露了本轮资金的两个用途：训练下一代专有模型，以及扩大在美国及全球的企业市场推广。前半部分指向技术投入，后半部分指向销售和营销。考虑到 Onyx 目前约 80 多人的团队规模（覆盖以色列、美国和加拿大三地），这笔资金足以支撑一轮激进的团队扩张和市场覆盖。
“训练下一代专有模型”这个表述值得拆解。Onyx 的核心技术壁垒在于其用来监控代理推理的专有模型，这个模型的性能直接决定了检测的准确率和延迟。更大的训练投入可能意味着：第一，需要持续跟进快速演变的 AI 代理架构（不同模型供应商的推理方式差异很大，代理编排框架也在迭代）；第二，积累更多的代理行为数据来提升检测模型在真实企业环境中的泛化能力；第三，可能涉及对新型威胁向量的预研，比如针对 Mythos 和 Fable 这类被描述为“先进到最初被认为太危险而无法公开发布”的模型带来的未知风险。CEO Bar Kogan 本人也提到“控制 AI”是公司的使命，并指出“数万亿美元正在被投资于 AI，帮助安全部署它的公司将价值数十亿美元”——这表明公司的抱负不是做一个细分工具，而是成为 AI 部署管道中不可或缺的基础设施层。
但对于一个如此早期的市场来说，市场推广投入的产出效率面临的不确定性同样不可忽视。企业虽然开始意识到 AI 代理安全的紧迫性，但从意识到预算落地，中间隔着安全团队、AI 平台团队和合规部门的多重评估。Onyx 需要证明的不仅是“能检测”，而是“能在不破坏代理效率的前提下精准检测，并给出团队可执行的拦截与治理策略”。市场教育仍然是最核心的成本。
竞争真空的诱惑与陷阱
在所有关于 Onyx 的公开信息中，竞品部分保持空白。这并非偶然。在 2026 年这个时间点，专门针对 AI 代理推理过程进行实时安全监控的独立厂商确实极其稀缺。传统安全厂商——包括云安全态势管理（CSPM）、身份治理、API 安全、数据安全——都在不同维度上触碰到 AI 代理的问题，但它们既有的产品架构都不是为“监控推理”设计的。身份工具管理谁有权部署代理，API 安全工具管理代理调用了什么接口，数据安全工具检查代理读取了什么数据，但没有一个工具盯着代理一步步推理的中间状态，判断动作是否偏离了原始意图。
这种竞争真空给了 Onyx 一个宝贵的窗口期，但真空本身也是危险的信号。它可能意味着需求还没有强烈到让安全大厂投入资源的地步，或者这个问题的解决方式最终会被大平台的 Agent 内置安全框架所覆盖。Anthropic 与 Onyx 的集成，反过来看也说明模型厂商自身的安全能力还不能满足企业需求——但模型厂商会一直满足于让第三方来解决这个问题吗？如果代理安全控制层的价值真的如投资人判断的那样巨大，云厂商和模型厂商有极强的动力将其内化为平台原生功能。
Onyx 创始人团队的背景为这场竞争增加了一些说服力。CEO Maxim Bar Kogan 曾在 Unit 8200（以色列军方情报部队）服役，之后担任 Mixtiles 的产品与工程副总裁。联合创始人 Gil Elbaz 是一位 AI 创业者，曾在以色列空军作战技术单位服役。两人的履历兼具安全深度和产品工程经验，这在当前 AI 安全人才极度稀缺的市场中构成稀缺性。但投资人的背书和创始人的履历并不等同于竞争壁垒。Onyx 最大的护城河假设——专有模型对代理推理的监控能力——还需要在更大规模的客户数量和更复杂的代理场景下被反复验证。
另外，公司客户行业分布（银行、科技、保险、能源）表明它正在切入受严格监管的行业。这些行业的合规要求可能为 Onyx 创造需求刚性，但也意味着更长的销售周期、更复杂的采购流程和对产品成熟度的更高要求。收入四倍增长固然亮眼，但如果基数来自早期设计合作伙伴，其在更广泛市场中的复制效率仍是未知数。
一套需被持续验证的叙事
Onyx Security 的 1.13 亿美元 B 轮融资，本质上是一组高度一致的叙事推动下的结果：AI 代理正在接管企业动作的执行权，而现有的安全架构被动且迟钝，需要一个专门针对代理推理过程的实时控制层。这个叙事与当前模型能力的快速提升节奏高度共振，尤其被 Mythos、Fable 等模型的出现赋予了现实紧迫感。Onyx 退出隐身后的收入数据、Anthropic 的集成、财富 500 强客户以及创始团队的背景，都为叙事提供了可触摸的证据。
但叙事中的每一个关键假设都挂着待验证的标签。代理真的会从“不到 1% 的动作占比”迅速变成“绝大多数动作的执行者”吗？企业是否愿意为一个只专注代理推理监控的独立产品持续付费，还是会等到云平台或模型厂商自行提供类似功能？专有模型的监控能力能否在规模化部署时保持低延迟、低误报和高鲁棒性？一个成立仅两年、80 多人的公司，是否有足够的工程带宽同时在模型研发、市场推广和客户成功三条战线上奔跑？
Onyx 拿到的不只是一笔融资，也是一个命题的限定时间：它需要在代理安全市场真正变成大厂游戏之前，把自己的控制层塞进尽可能多的企业 AI 部署管道。当下的竞争真空不会永远持续，而估值本身——6.4 亿美元——已经不是在为一家早期公司定价，而是在为一个即将被验证或证伪的品类领导者支付期权。
RecodeX 极客视：Onyx Security 的融资节奏和估值跳跃，是市场对 AI 代理安全作为一个独立品类存在共识的信号，而不是证据。共识来自对代理接管企业动作的预期，证据则需要真实的部署规模、续费率和性能指标来支撑。在不到 1% 的动作由代理执行的当下，Onyx 在赌一个“将要成为大多数”的未来。Bessemer 和 Cyberstarts 的背书让这个赌局看起来很诱人，但验证路径上最大的障碍可能不是技术，而是企业到底愿意为“监控推理”这个过于精细的粒度买单，还是最终满足于大厂集成的粗粒度框架。一个安全品类的价值，从来不由投资人的判断决定，而由安全团队在预算会上能拿到的优先级排位决定。
信息来源
本文在采集与核验阶段引用了以下公开来源，按站点去重列出；来源内容归原发布方所有，其口径不代表 RecodeX 的核实结论。