Cynative Security Research Agent

发布之后的表现

收入:indie(TrustMRR)库里没有库。官网也没有定价页,只有 design partner 申请表,说明还没到公开卖货阶段。无法给出任何收入数字。

用户 / 下载:appstore、googleplay、macappstore、chromestore 库里都没有它库。数据包里出现的 GitHub iOS/Android App 是名字匹配误配,不是本产品。官网明确写「No telemetry: we do not know how many teams run it, by design」官网——所以连官方都不掌握用户数,第三方更无从查。

开发者关注:GitHub 仓库 cynative/cynative,2026-06-24 建库,Apache-2.0,Go 语言库。2026-11-02 星数 228、fork 31(fork/star 13.6%,低于 15% 警戒线)、open issues 27、open PRs 1、291 次提交、35 个 tag,最近提交与最近发版都是 2026-10-22(v1.14.1)库 + GitHub 页。观测窗口内星数几乎不动:10-28 是 227,11-02 是 228,5 天涨 1 星库。suspect 标记为空,不是刷星;status「待观察」(gain_7d 为 NULL,因为全站 7 天窗口要到 11-04 才有)库。仓库内容扎实(45 个内置 agent、威胁模型、架构文档、Sigstore 签名发布),不是「只有 README」的空壳。

讨论:HN 库里 3 条库——2026-07-28 Show HN「Read-only CLI in Go」16 分 4 评论、front_hours 0(没上过首页);2026-08-12 博客文「Building Security Agents That Cannot Escape Their Trust Boundary」10 分 0 评论;2026-09-09 Show HN「build your own security agents」2 分 1 评论。X 本地库(560 人 core 层)零提及库;官方 @CynativeAI 账号 2026-07 注册,5 条帖、0 关注者X 页面。第三方报道有 Help Net Security 2026-07-13 一篇官网外链。

官网动态:站点在线且更新到 2026-10-19(博客「How We Write Security Agents」),另有 8-12、9-9 两篇;Substack 只有 2 个订阅者官网。产品线分两块:开源框架(已发布)和「主权网络安全基础模型」(官网标注 In development,未发布)。未查到任何融资或收购公告。

自报 vs 实际

• 自报「45 built-in agents」「28 个 LLM provider」「9 个 connector」官网:GitHub 仓库确实有 291 次提交、35 个 tag、docs 目录完整库,量级对得上,无法逐条核验。
• 自报「No telemetry,我们不知道有多少团队在用」官网:与「库里查不到任何用户/下载数据」一致,不矛盾,但也意味着用户规模无法被第三方证实。
• PH 票数 96 / 发布日 101库:属中等偏上,但 PH 关注者只有 88、评论 24,后续没有二次发布库,热度没有沉淀。
• 未发现任何自报收入或用户数,故无「对不上」项。

为什么成了 / 没成

它没「成」在分发,不是没成在产品。技术上这是少见的认真活:只读边界不靠提示词而靠 action gate + STS 重签 + 网络 pinning 三层强制,连「新 API 未映射就 fail closed」都写了官网 + Help Net Security。问题在于它把最难的部分做对了,却把最容易的部分(触达)放弃了:零遥测、无定价页、无 SaaS 试用、X 账号 0 粉丝、HN 三次发帖最高 16 分且从未上首页库。228 星对一个 4 个月大、面向安全工程师的 Go CLI 不算差,但 5 天涨 1 星说明它已经停在「被少数人收藏」的档位,没有进入使用者的日常工具链。真正的商业意图藏在后面那个「In development」的基础模型上——开源框架更像是给模型找 design partner 的敲门砖,而不是收入来源。

对想跟的人

这个方向有位置,但位置不在「再做一个只读云审计 CLI」——Cynative 已经把 action gate、STS 重签、fail-closed 审计日志这套信任边界做完了,而且 Apache-2.0 免费,你重做一遍只会更差。位置在它明确不做的两件事:一是分发,它 4 个月只换来 228 星、HN 最高 16 分、X 0 粉丝库,说明「安全工程师 + 开源 CLI」这条获客路径本身很窄,谁能把这类能力塞进 CISO 已经在用的采购流程(而不是让工程师 brew install)谁就赢;二是验证,它自己承认「read-only 约束的是动作,不是被污染的推理链」,UNVERIFIED 的发现只能标低置信度官网,把「只读证据 → 可采信的结论」这段补上就是真空白。最大的坑是:这个赛道 2026 年已经挤满拿了大钱的对手(同期 Corma 拿了 6000 万美元种子做防御性网络安全基础模型),你如果既没有 Unit 8200/PANW 这种信任背书,又没有分发渠道,做出来的东西会精确复刻 Cynative 现在的处境——技术被认可,没人用。

没查到的

• indie(TrustMRR):库里没有,无收入、MRR、订阅数、挂牌信息。
• appstore / googleplay / macappstore / chromestore:库里没有(数据包里的命中是 GitHub 官方 App 的同名误配)。
• 融资信息:未查到 Cynative 的任何公开融资轮次;官网、Crunchbase 检索、新闻搜索均无结果。BI 那篇 $33M Craft Ventures 报道讲的是另一家公司 Daylight,不是 Cynative。
• 用户数 / 下载量:官网自述零遥测,任何来源都拿不到。
• X 实时数据:本地库零提及,@CynativeAI 页面显示 0 关注者;未使用付费实时接口。
• 创始人个人 X(@ShakedZin)近期发言未逐条抓取。