问一款安全工具要花多少钱，答案是许可费。再问它 实际上 要花多少钱，你会得到一份不同的清单：数周的部署推广、需要在每台主机上保持更新的代理、没人愿意交出的凭据，以及——其中最大的一项——工程师花在判断四百项发现中哪些真正重要上的时间。
我们平台中的两项设计选择直接针对这些成本：我们以 无代理方式连接，并为你的资产构建一张 图谱 ——而且是在扫描任何内容之前。本文将说明每一项为谁节省了什么，以及其局限在哪里。
无代理：它意味着什么，不意味着什么
连接一个云不会在你的服务器上安装任何东西。对于 AWS，这是一个由 Terraform 创建的角色；对于 Azure，是一个应用注册；对于 GCP，是一个服务账户。我们通过云服务商自己的 API 读取配置和元数据（为数据安全检查所做的任何内容采样都是有界的，并且留在你的账户内），并在存储凭据之前用一次真实调用加以验证，因此错误的连接会在设置时就失败，而不是在凌晨 2 点悄无声息地失败。我们绝不持有对你云环境的写权限。
无代理并不是说永远不需要部署任何东西。有些东西确实需要在某处运行——一个可选的运行时传感器，或一个用于访问私有网络的轻量、仅出站的连接器。这些都需要主动启用，默认关闭，并有相应的文档说明。默认情况是：一个新环境只需一次连接即可可见，而不是一个部署推广项目。
它能节省什么
| 对象 | 避免的成本 |
|---|---|
| 安全团队 | 无需跨环境部署、升级和追踪一整批代理；覆盖范围不依赖于每台主机都被触达过。 |
| 平台 / 基础设施团队 | 生产主机上没有贴近内核的软件，无需捍卫性能预算，也无需为一款安全工具协商变更窗口。 |
| 合规 / 采购 | 访问权限的说明更简单：几分钟内即可审查的只读范围角色，也没有需要向审计方解释的写入路径。 |
| 财务 | 工程时间更多花在风险本身，而不是工具上。 |
图谱优先：一份发现清单并不是一幅风险全景图
大多数扫描器一次只处理一层，然后返回一份清单。代码仓库中一个存在漏洞的库、云中一个权限过宽的角色、一个暴露的端点，以及一个拥有可调用这三者之工具的 AI 智能体，是四行记录——但它们是一条路径。这四行中哪一行重要，取决于它们之间的连接，而一份清单无法表达这一点。
所以我们先构建地图：智能体、代码仓库、工作负载、身份、网络路由和数据存储，以及它们之间的关系。之后的每一步都会写回这张图——影子 AI 发现、渗透测试结果、态势发现——因此每一步都从上一步产生的上下文开始。
它能节省什么
- 分诊时间。 一项无法从任何暴露点触达、或不涉及任何敏感数据的发现，优先级会降低；而位于通往数据存储的可达路径上的发现，优先级会提升。工程师需要阅读的内容更少，顺序也更合理。
- 重复工作。 共享库或共享角色上的一项发现就是一次修复，而不是每个受影响的服务各开一张工单。
- 工具泛滥。 图谱会显示你现有的哪些控制措施覆盖了哪些资产。重叠一目了然，缺口也同样清晰——包括技术栈中其他任何工具都看不到的 AI 和智能体攻击面。
- 审计准备。 路径每一跳都附有证据，并映射到审计方已在使用的框架，这比一张导出的电子表格更容易交付。
面向开发者
图谱并不只服务于安全团队。为发现排序的同一份上下文，也决定了它会出现在你工作流的哪个位置：CI 检查依据 已证实 风险为拉取请求设置门禁，而不是针对每一个低严重度的库警告；修复以拉取请求草稿的形式交付，由人阅读并合并。机器编写的安全变更绝不会未经审查就落地——这是一条规则，而不是一个选项。
面向预算
定价遵循我们工作的形态。套餐依据你的资产规模——工作负载和智能体身份——而定，而不是依据扫描次数，因此账单本身不会让人不敢扫描。免费层级包含完整的资产图谱，因为图谱是其他一切的第一步，你应当在付费之前就看到自己的完整攻击面。
用你自己的数字来算一算
我们宁愿你亲自算一算，也不希望你直接采信我们给出的百分比。四个问题：
- 一个安全代理需要安装在多少台主机或多少个账户上？每个季度为保持其更新要花费多少工程师工时？
- 你现有的工具每月产生多少项发现？人工判断每一项是否真实需要多少分钟？
- 经过检查，其中有多大比例无法从任何暴露点触达？
- 同一个根因多久会产生许多张彼此独立的工单？
再乘以含全部成本的工程人力费率。钱就花在这四个数字上，而这些数字属于你自己。