三十年悄然收割：美国是如何一步步瓦解欧洲反病毒产业的？

本文来自微信公众号： 心智观察所 ，作者：观察者网

本文基于大量反病毒产业的历史事件和资本并购背后的信息挖掘，揭示了过去三十年美国产业寡头与资本并吞、瓦解欧洲反病毒产业的历程，以及美国情报机构在其中的隐匿暗线。本文采取了客观引述、谨慎推理的基调，由于时间跨度较大，检索到的部分信息资料之间存在内容差异，但这些差异并不影响整体叙事。

引子：欧洲觉醒中的安全能力缺失

7月13日，丹麦、法国、德国、意大利、荷兰、挪威、西班牙、瑞典、乌克兰和英国领导人在举行“志愿联盟”峰会期间签署联合声明，宣布组建一个“纯防御性质的反弹道导弹联盟”，通过加快建设共享导弹防御能力，弥补欧洲防务体系的关键短板。而这一短板的形成，来自于欧洲长期以来在核心防务领域对美国的深度依赖。就在西方媒体依然竭力把此事件基调定性为“俄罗斯是敌人”的时候，明眼人在其中读到的潜台词却是“美国靠不住”。8月3日，反导联盟宣布完成了全域雷达数据互通测试，打通欧洲防空雷达网络，统一欧洲自研开放架构。欧洲方面宣称，整套预警、跟踪、拦截调度可独立运行，无需美军宙斯盾前沿预警节点支撑。

发端了工业革命，有着非常强的自主工业体系的欧洲，由于长期采购美国先进武器系统（如F-35、爱国者导弹），其防空反导、高端战机、战略预警等核心军事装备与情报体系均已对美国产生了全面依赖。7月初北约安卡拉峰会期间，美国、德国、波兰、荷兰、瑞典达成协议，在欧洲设立美国PAC-3爱国者导弹维修中心。在此之前欧洲所有爱国者拦截弹损坏后，必须运回美国本土维修；丹麦、德国、挪威、波兰等13个欧洲国家采购美国F-35隐身战机。欧洲飞行员驾驶F-35执行任务时，飞行计划、机载软件更新、零部件调度全部接入美国数据中心，美国掌握后台权限。

欧洲的国土防御不仅自主权受限，还时常因美国的战略摇摆、军工垄断与利益干预陷入安全被动。这次成立的新联盟是在“志愿联盟”机制下建立，绕开了北约的统一决策流程，且‌美国未参与‌此次联合声明的签署，或许说明欧洲正在逐渐认清，完全依赖美国这个盟友来保障自身安全并不可靠，所以才在防务协作上尝试更独立的路径。8月2日，作为十国反导联盟的产业支撑，欧洲军工联合体敲定了量产推进协议，打造欧洲首款完全自主大气层外反导拦截弹，抛开这款武器还在PPT上不谈，目前欧洲的中段反导依然高度依赖美制爱国者。

欧洲的安全困境不仅体现在传统国土防御领域，更在于网络信息领域。现代防务高度依托网络信息技术，而欧洲国防网络基础设施、云端服务、通信系统大多采用美国技术与平台。依托相关法案与技术垄断优势，美国可随时调取欧洲防务数据、监听军政通信、干预网络指挥体系，但欧洲早已经失去了自己的网络安全的产业支撑力量。而作为支撑网络空间安全的产业基石，欧洲的网络安全产业体系也早已在过去的三十年间被美国资本和产业逐步蚕食瓦解而衰落缺失。

2025年11月，著名智库德国国际政治与安全事务研究所（SWP）发表评论文章《欧洲的网络安全依赖美国欧洲能并且必需做更多》（Europe's Cybersecurity Depends on the United States Europe Can and Must Do More）指出，欧洲网络安全生态系统完全依赖于美国，包括美国博通、Cloudflare、IBM和微软等供应商。1这种依赖可能导致欧洲在网络安全领域的行动能力受限。一旦美国政府终止支持、改变政策优先事项，或在冲突中将这种依赖“武器化”，欧洲可能面临严重风险。在该报告中，排在需要“去美依赖”首位的居然是杀毒软件，这是最为大众所熟悉的安全产品，随着个人计算机的广泛使用，计算机病毒如影随形，并逐步成为计算机犯罪的作案工具、信息战的攻击武器。攻击者依托计算机病毒实施入侵、控制、窃取、破坏。可以说病毒的检测能力就是网络空间安全的“敌我识别”能力。

图1 SWP发布的《欧洲的网络安全依赖美国欧洲能并且必需做更多》报告截图

注：报告所列美国公司主导欧洲市场网络安全应用软件产品中，排在首位的是杀毒软件。

欧洲杀毒软件依赖美国？这显然与常人的认知不符，即使经验的丰富的老IT人也往往认为即使把被美国制裁的卡巴斯基排除在外，欧洲的反病毒企业也群星璀璨。但事实上是，美国依靠市场、金融资本的手段组合，叠加情报机构的隐匿行动，布局了一张大网，欧洲网络防御的“守护卫士”们，已基本荡然无存。

故事要追溯到反病毒技术的起点：

一、欧美并立——反病毒产业的初代格局

上世纪80年代，随着个人计算机革命爆发，全球企业、家庭及个人拥有的计算机迅速普及，软盘的程序与数据交换，也让一台台计算机不是孤岛，这为计算机病毒的兴起提供了天然土壤。一些需要自我心理满足的技术爱好者，编写了能够感染可执行程序或者引导扇区的感染式病毒，伴随着软盘四处传播，发作时或者屏幕出现各种编写者设计的恶作剧信息，甚至瘫痪系统、损毁数据。八十年末到九十年代初期，病毒数量从最初的几种增长到几千种，逐步演化出自我加密、多态、变形等复杂的对抗技术，大量用户受到影响，成为个人计算机时代最主要的安全威胁。

于是，对抗计算机病毒的反病毒产业开始萌发并初步形成欧美双线发展的格局：欧洲企业以技术研究见长，先后出现了英国守护使（Sophos）、所罗门（Solomon）、卡巴斯基（Kaspersky）等以检测能力为核心的代表；美国企业依托资本环境和市场规模，赛门铁克、迈克菲（McAfee）等公司全面推进反病毒软件的大规模普及与商业落地。

率先站上反病毒软件市场风口的是两家美国公司。创立于1982年的美国赛门铁克公司起初业务不涉及信息安全领域，但确定了并购扩张的路线，并于1989年在纳斯达克上市；同期推出Mac杀毒工具SAM（Symantec Antivirus for Mac），正式踏入杀毒领域。次年，其成功收购美国公司Peter Norton Computing Inc.后，快速推动了系统工具和杀毒软品整合，并于1991年推出诺顿反病毒（Norton Anti-Virus）品牌产品，凭借与计算机硬件厂商的预装合作，快速渗透消费级市场，1992年全球累计用户突破500万，首次实现大规模商业化，成为全球杀毒软件知名品牌；另一家美国公司是1987年创立的迈克菲，初期通过免费提供个人版反病毒软件的经典“引流”打法，使其产品迅速占据了大量用户电脑，为企业级付费市场铺平了道路。1990年代初期，迈克菲反病毒产品的全球市场占有率达到20%至30%。这两家美国公司凭借先发优势迅速确立行业主导地位，抢占全球市场。

相较美国的双雄并立，欧洲则是遍地开花。1985年，英国守护使开始反病毒业务，后通过收购匈牙利VIRUSBuster等逐步扩大欧洲市场份额；同年，NOD首款产品发布，创始人于1992年正式在捷克斯洛伐克成立ESET公司。1988年，艾伦·所罗门（Alan Solomon）在英国成立所罗门公司，推出初代反病毒工具包（Dr.Solomon's Anti-Virus Toolkit），1991年产品正式商业化，成为同期欧洲最大反病毒企业。

在1985年至1991年间，德国小红伞（Avira）和G Data、西班牙熊猫安全（Panda Security/Panda Software）、捷克AVG和Avast、芬兰F-Secure相继成立。

盛产数学家和极客的俄罗斯也自然不会在这场竞赛中缺席。1991年，苏联国防部军工研究所密码研究员尤金·卡巴斯基（Eugene Kaspersky）带领团队研发AVP反病毒程序，以其数学底蕴、和密码破译的思维，将病毒特征转化为数据结构抽象，打造了那个时代全球公认最强的杀毒引擎，并1997年正式成立反病毒公司卡巴斯基，后续成为全球顶级杀毒软件品牌。卡巴斯基与所罗门的创始人艾伦·所罗门、迈克菲创始人约翰·迈克菲（John McAfee）等行业先驱通过VIRUS-L邮件列表，共同探讨新病毒检测与清除技术，推动行业技术共享，也让那个时代的反病毒技术业界不只是商业竞争，也形成了共同对抗病毒这个敌人的技术文化。

另一家著名的俄罗斯反病毒公司被中国用户俗称“大蜘蛛”。1992年，俄罗斯伊戈尔·达尼洛夫（Igor Daniloff）团队开始研发Dr.Web反病毒软件，并启动产品商业化布局，后于2003年正式成立公司。

反病毒产业东欧力量也不只有俄罗斯声音，1992年捷克AVG公司走出软件分销定位，正式发布AVG Anti-Virus 1.0。1996年，在罗马尼亚成立的比特梵德（Bitdefender），凭借主打引擎授权这一极有特色的商业模式逐步成为全球产业链的重要环节。

表1欧美并立时期的欧洲主要反病毒厂商列表

二、并购所罗门——初代寡头企业诞生

随着上世纪八十年代DOS字符型操作系统逐步演进升级至Windows图形操作系统，主导的可执行文件格式也转化为PE格式，安全机制也有所强化。但CIH病毒的出现打破了用户对Windows系统的安全期待，这是全球首例大规模扩散和流行的可直接破坏计算机硬件的恶意程序；该病毒由中国台湾陈盈豪（病毒名称CIH为代表其名字的三个字母缩写）编写，1998年首次出现，病毒发作后，不仅清除硬盘主引导记录、分区表、销毁磁盘数据，还可直接改写对应宿主主机的主板BIOS固件，从而造成系统彻底无法启动。由于该病毒的主要变种发作时间是4月26日，美国杀毒厂商别有深意的将病毒命名为“切尔诺贝利”，但实际上这一天是陈盈豪的生日，据说其编写这一病毒的动力是对美国杀毒厂商趋势的炒作宣传不满。而轶闻背后，是这一时间验证了计算机病毒的“武器化”特性。就在这个时点，1998年6月，英国最具盛名的反病毒厂商所罗门公司被美国网络联盟公司（NAI）以6.42亿美元股票收购2。由此作为一个起点，美国产业和资本开始了一轮、又一轮向欧洲产业的冲击波。

1997年一场由欧美两家企业口水大战引发的全球技术圈关注已经暗示了这场冲击波必然到来。3争端的双方分别是美国的迈克菲与英国的所罗门，两者风格截然不同。

迈克菲张扬、激进，擅长市场营销与资本运作，具有典型美国公司擅长市场营销的特点。公司早在90年代初，就凭借其反病毒软件“VirusScan”和捆绑销售打下了全球市场的半壁江山，其红色盾牌图标已成为当时PC安全杀毒的标志性象征。

所罗门则低调、内敛，信奉技术至上，主打企业级端点防护，以欧洲为根基，在企业和高端用户中口碑卓著。所罗门公司在反病毒引擎软件结构上，率先引入了查毒缓冲区和偏移量等相关概念，有效地提升反病毒软件的运行速度和检测能力，其开发的反病毒软件以严谨的算法和出色的未知病毒检测率而著称。

迈克菲公司在各种PK测试中，频繁败给所罗门。此后，迈克菲公司宣布他们的专家在所罗门公司出品的杀毒软件中发现，其病毒检测软件可以自动切换两种模式：正常模式和高级模式。正常模式的速度很快，但是对于某些复杂的病毒可能无法检测；高级模式的速度比较慢，但是高度敏感，检出率就随之增加更多。而当软件发现自己貌似在检测测试用的样本库时，会自动切换到高级模式，以便可以得到高检出率的数据，而在检测普通文件的时候会切换到正常模式。这样所罗门的软件就会在大量病毒样本的检出率测试中检出率很高，但在普通用户机器上扫描速度又很快。随后，所罗门也开始了反击。

口水战是市场竞争的反应。迈克菲深谙捆绑之道，其软件被预装在无数品牌机中，用户一开机便跃然可见。所罗门则主攻企业级市场，通过严谨的测评数据和顾问式销售，占据部分市场份额。双方连广告语都针锋相对：迈克菲自称“最全面的保护”，所罗门便标榜“最精准的防御”。随后看不见的硝烟在各个战场蔓延：渠道商、媒体评测、行业会议…..

但作为科技公司，核心碰撞归根结底还在技术层面。迈克菲具备快速响应的优势，可依靠庞大的用户网络，快速获取病毒样本并推送更新，却因误报率过高引发用户不满。所罗门坚持深度静态分析与启发式扫描技术，使病毒作者修改绕过的所罗门杀毒软件的难度大大增加，展示了作者艾伦·所罗门的深厚的技术底蕴。迈克菲影射所罗门技术路线“华而不实”，无法应对海量威胁；所罗门则回击迈克菲的产品“臃肿如象”，消耗系统资源，本身就如一种“软件病毒”。双方高管隔空喊话，技术团队在安全论坛上互相拆台。显然，所罗门的兴起已经构成了对迈克菲独霸全球市场幻想的威胁。

美系资本通过一次打造网安产业巨无霸的行动，终结了这场遭遇战。1997年年底，迈克菲与网络通用公司（Network General）以换股方式合并（约13亿美元），成立网络联盟公司（NAI），并整合、并购PGP、Helix Software、Trusted Information Systems(TIS)等公司，业务覆盖终端安全与网络管理两大领域，构建起“全栈防御”产业生态。此时，对抗所罗门的迈克菲不只是一个杀毒软件公司，而是一个美系资本打造的第一个安全企业帝国。1998年6月9日，象牙塔中走出的所罗门被NAI以6.42亿美元股票收购，交易在同年8月完成。收购完成后，迈克菲迅速整合技术，所罗门引以为傲的反病毒引擎部分技术被吸纳，所罗门引擎的技术路线替换了迈克菲原有的引擎路线。欧洲的先进引擎技术终成美国公司的发动机。

此次收购的影响远远不只在一家公司层面，更是一场地缘经济博弈，深层次地影响着欧洲市场。NAI收购所罗门后，通过价差覆盖不同预算用户，避免自身内部竞争并扩大欧洲市场占有率。同时，联合英国零售商、PC厂商预装，配合短期折扣与捆绑销售，放大价格战效果。通过两级收割，NAI快速渗透并巩固欧洲份额，同时挤压F Secure、G Data等欧洲本土厂商空间。一波操作之后，迈克菲在英国及西欧的个人用户渗透率显著提升，NAI成为欧洲反病毒市场份额领先者之一。

2000年后所罗门独立品牌进一步弱化，其技术（如病毒特征库、清除引擎）已被整合至迈克菲产品线，价格分层策略随之淡化。所罗门品牌被雪藏，原有团队解散或重组。

2004年，NAI分拆非安全业务后，公司更名，迈克菲回归，但所罗门早已不复存在。

迈克菲吞下所罗门是美国对全球网络安全生态掌控的开始。这场收购是一次赤裸裸的技术殖民——美国资本以市场为枪，以资本为弹，精准击溃了欧洲网络安全领域龙头堡垒。欧洲企业即便使用“本地化”产品，其底层引擎、更新服务器、威胁情报网络，也大多依赖美国公司构建的闭环体系。迈克菲背后是美国《爱国者法案》的阴影——只要一纸传票，所有用户数据都可能被FBI调取。收购完成后，原所罗门数据处理中心将迁移至美国的弗吉尼亚。欧洲用户未必知道自己的检测日志将会搬家，但留给他们未来能选择的可信供应商将会越来越少。

三、买下守护使——美系资本再次行动

20世纪末至21世纪初，是全球信息技术从桌面时代向互联网时代跨越的关键时期，互联网在全球纵深延伸。随着信息高速公路的铺设，病毒的主流形态从本地感染的文件型病毒逐渐转向依托网络传播的蠕虫，快速蔓延传播，升级为全球威胁：红色代码（Worm.CodeRed）、口令蠕虫（Worm.Dvldr）、震荡波、冲击波先后大量传播，Slamer蠕虫更是半小时感染全球。这一阶段，网络运营商通讯不时被蠕虫扫描拖慢，邮件服务器上堆积的大量都是邮件蠕虫发送来的感染邮件。计算机病毒具有“武器化”的潜质，被一次次事件强化，反病毒企业的价值也被进一步关注。

就在这一阶段，伴随着金融资本加速塑造美国互联网和IT产业格局，美国金融资本与科技巨头再次把目光瞄准了欧洲的企业。美系资本纷纷入场，其中最引人关注的是2002年美国私募股权公司TA Associates对英国网络安全公司守护使（Sophos）的收购案。

1985年，在学术气息浓厚的英国牛津郡阿宾顿，扬·赫鲁斯卡（Jan Hruska）和彼得·拉默（Peter Lammer）怀揣着对抗计算机病毒的理想，创立了守护使。最初的岁月是纯粹的技术探索期：1988年，他们推出了基于校验和（Checksum）算法的反病毒软件；次年，更成熟的特征码反病毒软件问世。到1996年，公司已凭借其技术实力被评为“英国最佳中小企业”，并跨越大西洋，在美国波士顿设立了据点，显露出国际化的早期野心。这一时期，守护使的基因里刻着技术驱动与独立发展的印记。

2002年，美国私募股权公司TA Associates以6000万美元入股守护使。TA Associates 4是一家总部位于美国波士顿的全球性成长型私募股权公司，专注于科技、金融服务和医疗等领域。它在网络安全领域非常活跃，尤其专注投资和收购中型成长阶段的网络安全公司。守护使2003年收购反垃圾邮件软件公司ActiveState（从事反垃圾邮件软件开发业务）；2007年收购网络访问控制软件公司ENDFORCE；2008年以3.4亿美元收购德国数据安全领导厂商Utimaco Safeware公司，凭借其Safeguard企业终端加密产品线一举进入磁盘加密领域。资本的力量将这家英国技术公司迅速推上了通过并购实现外延式增长的快车道，经过美国资本的入场，守护使不知不觉中完成首轮易帜。

2010年5月，守护使的控制权再次易手。欧洲最大的私募股权机构安佰深（Apax Partners）联合Investcorp，以8.3亿美元的估值将其收入囊中。Apax Partners是以1969年美国VC先驱Alan Patricof在纽约创立Patricof&Co.为业务起点，虽总部在伦敦，但资金来源、运营策略，尤其是投资决策，主要依托美系资本。交易完成后，Apax获得约70%的控股权，创始人股份被进一步稀释至约10%。在Apax这位新“舵手”的指挥下，二次转手的守护使的收购步伐更快、战略意图更明确，开启欧洲资本的整合与上市之路：

2011年收购德国UTM市场领导者Astaro（德国在网络安全设备方面居欧洲市场占有率第一的厂商，主打产品是UTM）；

2012年收购反病毒企业VirusBuster和移动管理方案商DIALOGS，推出了自己的邮件安全产品，该产品成为一款全球领先的产品；

2014年，接连收购印度网络安全提供商Cyberoam和云安全初创公司Mojave Networks，打造了守护使下一代防火墙——XG系列防火墙产品；

2015年，公司收购了Reflexion和Surfright，继续壮大了在邮件安全领域的实力；

2015年6月，在Apax的推动下，守护使在伦敦证券交易所成功上市，发行价225便士，市值约16亿美元。

上市后，守护使并未停止收购：2016年，收购了PhishThreat和Barricade；2017年2月，以1.2亿美元收购了机器学习领域公司Invincea，公司端点安全产品连续10余年位居Gartner领导者象限；2019年，收购了云安全初创公司Avid Secure、端点安全平台DarkBytes和MDR供应商Rook Security。

然而，公开市场的聚光灯并未让守护使摆脱资本的引力。2019年6月，美国私募股权巨头Thoma Bravo伸出了橄榄枝，Thoma Bravo是信息安全投资领域的超级买家，先后收购了200多家软件和技术公司。同年10月，Thoma Bravo宣布以约39亿美元的总价（较股价溢价37%）发起收购要约。这笔交易获得了压倒性的股东支持，以全现金完成私有化交易，公司从伦敦证券交易所退市，成为Thoma Bravo全资子公司。私有化后的守护使，在Thoma Bravo的资本支持下继续扩张：2024年10月，以8.59亿美元收购Secureworks；2025年又收购服务提供商TechMD以扩大市场覆盖。

图4守护使的跨国嬗变史与控制权转移

从1985年创立到2020年3月被资本再度私有化从伦敦证券交易所退市，守护使完整地走过了“技术创业→风险投资（VC）注入→私募股权（PE）收购→公开上市（IPO）→再度私有化退市”这一被资本控制的典型生命周期。

作为一个起源于欧洲、外部形象也是欧洲企业的公司，守护使却享受着美国公司特权：被排除在美NSA“全球监听计划”之外（关于NSA实施全球监听的“拱形”计划，请看第五小节）。因此，守护使与美国情报机构之间的关系一直被怀疑。实际上，通过美系资本“左兜进右兜”的股权游戏，守护使已然是一家被美国资本深度控制、以欧洲面孔示人的美国公司，这使得其在跨境产业整合中更加肆无忌惮，直至被最终私有化退市。其发展史，看似在资本助力下围绕核心网络安全业务持续壮大的历史，实际上是一部企业控制权的嬗变史。守护使从一家由英国技术创业者所开启的、带有理想主义色彩的公司变成美系资本并购的枢纽和牟利的工具。美系资本如同黑洞，以吞噬一切的姿态再次席卷欧洲，成为欧洲反病毒群星崩塌暗淡的奇点。

四、微软入场——寡头的鲸吞之路

在经历了二十一世纪最初几年的蠕虫爆发洗礼后，随着互联网经济的发展，计算机病毒的形态全面进入木马时代。其更多的关键表现不再是自主扩散传播，也不具备感染能力，而是攻击者主动投放、静默潜伏、远控窃取。木马背后的编写动机，也不再是炫技和心理满足，多数是犯罪团伙企图获取各种经济利益和情报机构窃取情报信息。由于形成了商业模式，木马数量迅速爆发式增长，迄今变种已是千万级别，远远多于传统计算机病毒和蠕虫。这些木马的表现形式也多种多样，包含远控木马、窃密木马、转账木马、破坏木马等，有的也被攻击者用于操控“肉鸡”的僵尸网络。攻击者实施攻击的动力，从炫技和心理满足转向牟利驱动，攻击开始呈现出体系化特点。编写售卖木马给攻击者成为一种网络犯罪的上下游分工，网络黑市初具雏形。全面应对木马的大爆发成为全球反病毒业界的共同挑战。就在此时，一个巨头进入了战场。

2005年，操作系统厂商微软决定升级安全策略，推出Windows Defender。此举颠覆性地影响了反病毒技术和产业发展的格局。

在DOS时代，微软出于其核心操作系统的兼容性以及反垄断顾虑，并没有在反病毒软件上下功夫。其操作系统的核心安全技术几乎没有反病毒技术的基因。微软也曾做过短暂的尝试，比如从美国Central Point Software取得授权，将其产品CPAV以MSAV之名捆绑进MS-DOS 6.0，以增强系统的基础安全能力，更最终将Central Point Software收购。但此次尝试并不成功，在AVP等优秀杀毒软件的优异检测能力映衬下，MSAV因检出率低、修复能力差，成为社区中的反面典型，微软很快就放弃了MSAV这个杀毒产品。

2001年，微软基于DEC的VMS架构，推出Windows XP操作系统，该系统是微软历史上生命周期最长、影响最为深远的操作系统，也是微软系统安全大演进的起始版本。2004年，XP市场份额已超过60%，成为全球当时主导的桌面操作系统，但面对同时出现的大量针对XP系统的安全问题，出于对操作系统本身安全和增强用户信任等多方面考虑，微软不得不再次下定决心解决自身产品的安全问题，并最终将其目光投向了欧洲。

2003年，微软对罗马尼亚反病毒公司GeCAD进行了并购。GeCAD旗下核心产品RAV AntiVirus为Windows平台提供杀毒解决方案，其客户已经覆盖超过60个国家和地区，在反病毒领域具有一定的影响力。被微软收购后，GeCAD作为公司实体虽然存在，但是其反病毒引擎等核心技术和团队全部划入微软旗下，因此自2003年，GeCAD公司不得不更名Axigen，并转而开发协作平台等其他非杀毒软件产品，GeCAD公司作为杀毒软件的代表实际上从被微软收购后就不复存在了。

2004年，微软对Giant Software公司进行收购。当年微软推出了XP系统重大的安全升级版本XP SP2。

2005年，微软通过收购欧洲反病毒厂商获得其反病毒引擎核心技术，并以AntiSpyware、Windows Defender等产品整合消化，逐渐构建起其完善的反病毒体系能力。微软在操作系统底层预置Windows Defender免费杀毒软件。

2009年，微软推出Microsoft Security Essentials(MSE)安全软件，后该软件被全面整合到Windows Defender，到2019年，微软将Windows Defender更名为如今的Microsoft Defender，直接以Defender品牌统冠名其安全业务，其战略地位不言而喻。

表2微软通过收购全球网安企业、进入反病毒领域一览表

寡头微软利用在操作系统的绝对力量、自身的资本和市场优势，将收购的每一项技术迅速标准化、产品化，与操作系统深度捆绑。其结果不仅是安全性大大提高，也从根本上改变了全球反病毒产业的市场竞争规则：安全从“可选项”变为微软生态的“默认配置”，“消化”了整个欧洲乃至全球的独立安全市场。2021年，微软的网络安全业务首次突破100亿美元，2023年达到已公开的最高营收水平，突破200亿美元。基于公开数据，微软已是全球营收规模最大的网络安全公司，完成了从软件巨头到安全寡头的鲸吞之路。

五、“拱形”计划——NSA绘制的企业黑名单

21世纪初，随着信息技术全面重塑社会形态，网络空间迅速成为国家利益拓展与地缘安全博弈的全新领域。一些新兴计算机病毒，特别是远程控制木马、漏洞利用工具等，升级为全球地缘安全斗争中的实用化网络武器。这一时期涌现的典型工具，如Back Orifice及其后续版本BO 2000，不同于以往只能进行一般性传播扩散及破坏等行为的恶意代码，其本质是可以获取被攻击目标主机的控制权，能够对目标主机环境进行持续性情报信息获取及行为控制，为构建面向对手环境的网络杀伤链完成了机理验证。与此同时，反病毒技术也从一项民用防护技术，演变为网络情报对抗与网络战争中的关键防御基础设施和敌我识别的关键技术，其战略地位得到根本性提升，成为NSA重点布局领域。

2007年，NSA制定了“拱形”计划（CAMBERDADA）5（图5）。这是一项针对全球除“五眼联盟”外其他国家的主要安全厂商的秘密监听计划。由NSA与英国政府通信总部（GCHQ）共同实施，NSA下设机构信息保障局（IAD）和威胁行动中心（NTOC）参与，其核心目标是监控全球范围内的关键网络安全厂商，尤其是俄罗斯的卡巴斯基实验室。后续目标包括欧洲和亚洲16个国家的23家全球重点网络安全厂商，其中也包括了中国网络安全厂商安天（Antiy）（图6）。

图5“拱形”计划文件封面

图6“拱形”计划所列除卡巴斯基外更多的监控目标厂商

该计划充分利用了美国在全球范围内的网络监控能力，特别是对通信基础设施的的入侵和监听，对卡巴斯基等反病毒厂商和用户间通讯进行监控，以获取新的病毒样本及其他信息，发现自己的攻击行动是否暴露（图7）。

图7“拱形”计划实施方法示意图

NSA通过监控用户向反病毒厂商上报样本的邮件实现其目标，这包括捕获全球用户向反病毒厂商上报的样本以获取高价值情报资源、为NSA下属的特定入侵行动办公室（TAO）提供可复用样本资源转化为可以利用的网络攻击武器、监测反病毒厂商的处理能力及是否放行某些恶意代码样本、监测样本提供者是否卷入“违法”活动以防对美国情报机构构成威胁、监测自身情报作业是否被发现以及发现用户弱点、总结样本免杀特点、寻找安全产品弱点等。这种策略不仅增强了美国在网络安全领域的攻击能力，同时也为未来可能的网络冲突提供了战略优势。

此计划发生近十年后，被“自由斯诺登”网站披露才大白天下。2015年6月22日，“自由斯诺登”网站曝光了一份标有“绝密”（top secret）字样的NSA文档“轻松获胜：利用信号情报来了解新病毒”（An Easy Win:Using SIGINT to Learn about New Viruses），披露了美国、英国有关情报机构实施的“拱形”计划。曝光“拱形”计划当天，部分西方媒体同步报道该事件。新华社也就“拱形”计划发表了题为《综述：多国网络安全厂商抨击美英监听计划》6的新闻报道，分别采访了被列入监控名单的多家厂商，包括斯洛伐克ESET、俄罗斯卡巴斯基、捷克AVG、中国安天等。他们均表示网络安全产业的企业应该联合起来，共同捍卫用户安全。以下内容摘自当时新华网的的报道：

“斯洛伐克安全企业ESET表示，信息安全产业的所有企业都应该联合起来，共同反对削弱安全产品的任何企图。‘我们的第一要务始终是保护我们的用户，保护我们的产品和我们的系统不受任何入侵，不管这种入侵来自何方’。

卡巴斯基发言人表示，安全企业应该共同努力，捍卫用户隐私以及互联网隐私等权利，挫败大规模监听行动，让世界变得更加安全。

捷克AVG技术公司表示，美国2015年6月刚刚通过的《自由法案》对国家监控行为加以新的限制，这是确保用户安全和安心的积极行动，但在数字生态系统重建信心需要长期努力。

安天实验室在一份声明中说，这份监控目标名单将使本已出现裂痕与猜忌的全球安全产业更趋割裂。‘全球反病毒厂商在与恶意代码近三十年的对抗中，很早就形成了互信、协作的基础，建立了资源交换体系和共同应对威胁的基本机制。但有关情报机构把自身所在国家以外的国际反病毒和安全厂商视为自己发动全球攻击、监听活动的绊脚石，同时又与自己国家的安全厂商微妙互动，这是强行在反病毒和安全厂商中划分出阵营。’

安天实验室认为，‘这种思维一旦扩散下去，必将导致各国艰难形成的安全产业协作和应急协同机制荡然无存，也将显著伤害全球其他国家用户对相关情报机构所在国家的安全厂商的基本信任’。”

“拱形”计划更多目标页上一个微妙的细节，暴露出了NSA对全球反病毒企业的关注远不是在计划开始的2007年。在这张图上NOD32和ESET被分成两家，这是一个错误，因为NOD32是ESET的产品名称，而非独立企业。但如果梳理ESET公司历史就会知道ESET公司成立于1992年，但其产品NOD则是在1987年已经发布。这一错误发生的较大可能性是NOD产品团队先作为关注线索进入了NSA的视野，而ESET企业成立则再次被美方关注，从而成为比“拱形”计划启动时间更早的两条目标线索。据此可以猜测，全球网络安全的早期团队和产品，早就在美国情报机构的视野之内。

表3列入“拱形”计划（CAMBERDADA）目标的全球安全厂商名单

美国情报机构通过“拱形”计划，监听到了大量的用户和主要网络安全企业间的通讯内容，不仅获取了大量可武器化的漏洞与样本，更能进一步评估安全企业的行为活动。十数年过去，“拱形”计划名单上的企业命运，惊人地印证了其作为“猎杀名单”的本质。美国情报机构不仅从技术层面监控，更借助资本、市场的无形之手，对他国国家的网络安全产业能力实施颠覆。

六、团灭的开始——情报指引的资本战争

“拱形”计划，是一张清晰的路线图，美国综合利用其情报霸权、资本霸权和市场霸权，对全球网络安全产业进行系统性“剪裁”，将网络安全厂商视为对其攻击活动的“威胁”，监控是为了识别威胁，并购是为了解除武装。经过这场美国的精心布局，上榜的欧洲主流厂商几近“团灭”。

一部分安全厂商直接被美国资本直接/间接吞并“驯化”。

Avira（德国，小红伞）与Avast（捷克）：这两家欧洲消费级市场的巨头，先后于2020年和2022年被美国网络安全巨头NortonLifeLock（后更名为Gen Digital）完成收购。收购后，原品牌虽暂时保留，但技术、数据与研发路线已被深度整合，其作为独立、可能挑战美国监控的“第三方”属性已不复存在。

AVG（捷克）：早在2016年，Avast就以13亿美元收购了AVG，最终将其一同带入Gen Digital的版图，完成了对捷克网络安全力量的整合。

Norman（挪威）：其威胁情报与沙箱分析的核心子公司Norman Shark，于2013年被美国网络安全公司Blue Coat Systems收购。虽然母公司整体去向分散，但公司最尖端的威胁检测能力已被美国资本控制。

还有些安全厂商在“主流”边缘挣扎被迫区域化。没有被美系资本收购的安全厂商，在全球市场竞争中逐渐被边缘化，退守至本土或特定区域市场，影响力大减。

ESET（斯洛伐克）：据全球知名金融数据库PitchBook信息显示，2021年12月1日，ESET公司被收购。但公开信息未查证到收购资本的详细信息。是否有美资介入情况不详，尽管坚持独立运营，始终保持私有化，但其全球市场扩张明显受限。它和Dr.Web（俄罗斯）、AhnLab（韩国）等厂商一样，虽在本土或特定区域（如欧洲、俄语区、东亚）仍是主流，但在全球舞台的话语权已大幅削弱，难以形成对美国网络行动的普遍性制衡。

其他多家厂商，如F-Prot（冰岛）已倒闭或终止运营；IKARUS（奥地利）、Hauri（韩国）、Arcabit（波兰）、Spy-Emergency（斯洛伐克）、NoVirusThanks（意大利）、Emsisoft（新西兰/奥地利）等，均已沦为小众或边缘化厂商，甚至部分产品停止更新服务。

表4欧洲反病毒公司被美方资本控制情况一览表

表5在并购欧洲网安产业中活跃的美国资本机构一览表

注：American Enterprise Funds（美国企业基金）是美国国会在冷战后为支持前社会主义国家向市场经济转型而设立的特殊投资基金。

核心特征：由美国国会授权成立，由美国政府提供初始资本（通常来自USAID），由独立董事会管理（多为私营部门人士），目标是促进私营部门发展，而非追求短期财务回报。欧洲其他“X-American Enterprise Funds”基金，均为美国国会授权及美国政府资金的运行模式，根据埃及美国企业基金（EAEF）官方历史资料，美国国会在1990年代授权成立了10个Enterprise Funds，覆盖19个国家。

七、拿捏引擎——欧洲资本的尴尬

在欧洲反病毒版图中必须要提及一笔的就是罗马尼亚厂商比特梵德，其关键特色并非产品覆盖广泛，而是另辟蹊径走了一条以引擎授权为主导的商业模式，是全球网络安全的“上游企业”。在2025年Joyce的研究论文“ClarAVy a tool for scalable and accurate malware family labeling”中7，分析了部分安全产品背后的技术来源，其中比特梵德引擎所授权的范围最大，这也就意味着绕过比特梵德将意味着可以绕过多种安全产品。

图8比特梵德在全球的授权合作最广8

显然，以美国情报机构的调性，反病毒引擎作为共性技术，不可能不展开针对性布局。而在欧洲同业花果飘零之际，比特梵德看起来能屹立不倒，而且依然在谋求独立上市，就需要分析其背后的逻辑。

2007年比特梵德进行首轮外部融资，就被美资背景基金Romanian-American Enterprise Fund（RAEF）捷足先登。当时由Axxess Capital组织包括RAEF在内的投资联盟，共同完成了比特梵德700万美元的首轮外部融资。RAEF基金是由美国国会通过美国国际开发署（USAID）注资5500万美元成立的“企业基金”，自1995年成立之初至2008年清算转型的8年内累计投资超过8000万美元,并在股权及准股权投资交易中从联合投资方处吸引了1.4亿美元的配套资金9 10。而USAID正是在冷战对抗时期美国催生的制度化外援工具，主打援助永远附政治条件，服务美国霸权。

根据公开资料的判断比特梵德的第一大投资人依然是创始人家族。尽管在2025年CANVAS的一项报道中指出，2020年美国私募股权公司Insight Partners收购了Bitdefender的多数股权。Insight Partners是1995年创建的美国私募基金公司，该公司的顾问委员会成员以美国情报、国防及科技领域前高级官员为主，包括国家情报局前副局长休・戈登（Sue Gordon）、前奥巴马政府美国副首席技术官妮可・黄（Nicole Wong），前NSA局长/美国网络司令部司令蒂莫西・霍（Timothy Haugh）等。但经过多方信息比对，该消息为一条孤证，较大可能性是未遂意向形成的空穴来风。但对应的消息时点恰在比特梵德谋求在纳斯达克上市的前夕，就耐人寻味。有可能来自比特梵德投资投资人背后的LP退出压力。2021年，比特梵德高调宣布启动纳斯达克（NASDAQ）IPO进程，寄望在全球最具流动性的科技资本市场完成蜕变。但这一计划并未实现。七年过去了，上市时间表一再后撤，最新预期已推至2028年底11。这一延迟并非简单的市场周期波动，而是欧洲高科技产业在资金来源与退出通道上对美国深度依赖的结构性困境的集中暴露。

比特梵德的股权结构中，创始人家族持股约55%。第二大股东为伦敦私募股权基金Vitruvian Partners，固定持股30%，该份额于2017年从Axxess Capital手中收购，交易估值6亿美元12。然而，Vitruvian Partners作为总部位于欧洲的私募机构，资金主要来源并非欧洲本土。投资比特梵德的三期基金（VIP III）约半数有限合伙人出资来自美国；四号基金（VIP IV）北美出资占比更是突破50%，美国养老金、高校捐赠基金及科技巨头自有资金通过有限合伙人（LP）身份深度参与出资13。

比特梵德的股权结构清晰地揭示了欧洲资本来源的尴尬。这意味着，即便是欧洲主权面孔的基金，其投资决策与退出诉求也必须首先回应美国资本的利益。当美国资本占据LP份额的多数席位，基金在投决机制上必然受到美方意志的隐性影响——从投资方向、估值容忍度到退出节奏，均需优先满足美资对回报周期与收益率的苛刻要求。欧洲本土风险资本规模有限，无法单独承载高科技企业的融资需求，迫使优秀标的不得不引入美资。当域外资金占比达到临界规模，投资方向、战略节奏乃至未来布局便不可避免地受到美国资本意志的影响。

从投资、管理、控制到退出的全链条观察，欧洲资本始终未能摆脱对美资的路径依赖。在投资端，欧洲本土PE/VC基金规模有限，单只基金募资额通常仅及美国同类基金的十分之一，面对比特梵德这类体量（2017年估值6亿美元）的标的，欧洲基金往往需要引入美资共同投资，导致出资结构天然失衡。在管理端，美资LP通常要求派驻观察员或施加重大事项否决权，对投后管理形成实质性干预。在控制端，尽管比特梵德创始人家族通过超级投票权保持55%控制权，但Vitruvian Partners作为第二大股东拥有董事会席位，对重大战略决策具有一票否决权；一旦美资通过LP协议施加压力，企业的长期战略可能被迫向短期收益妥协。在退出端，欧洲本土交易所的估值能力和流动性远逊于纳斯达克，伦敦证券交易所的科技板块平均估值水平仅为纳斯达克的60%–70%，且大额交易容易引发市场波动，迫使基金倾向于寻求美国并购市场或纳斯达克IPO作为主要退出路径。

比特梵德在纳斯达克登陆计划一再推迟的背后，更深层的原因是美资股东对收益预期的焦虑——当美国资本成为主要出资方，其逐利本性会不断施压企业尽快上市变现。美国是比特梵德最大单一市场，其接近一半收入来自北美。比特梵德一再调整目标等待上市窗口，旨在迎合纳斯达克机构投资者偏好。

若在纳斯达克独立上市路径不畅，被美国资本寡头和大型企业并购便成为欧洲资本对于网络安全厂商的主要退出通道。从Avast、Avira被Gen Digital收购，到Sophos被Thoma Bravo私有化，欧洲反病毒产业的头部企业几乎无一例外地落入美国资本之手。比特梵德目前虽保持创始人家族控股，但Vitruvian Partners的30%股权随时可能通过并购退出。欧洲本土缺乏足以承接这类体量的科技并购市场，伦敦、法兰克福等地的交易所难以提供纳斯达克级别的估值与流动性。这种木桶效应使得欧洲资本在投、退两端均受制于人，无法形成自主可控的闭环。

从比特梵德的案例可以管窥整个欧洲金融和产业联动运行的命门：无论欧洲基金是否能够主导投资行为，其从总体导向上，都会成为美国产业的育种基地和预科孵化器。欧洲的金融体系在形式上保持独立，实质上却通过资本来源与退出通道的双重绑定，为美国资本收割孵化标的对象。

这一观察微妙地折射出一个主权国家国内金融体系面临的风险。国有资本若不能有效执行国家意志，其行为逻辑与欧洲私募基金并无本质区别——逐利本能将压倒战略导向，最终使国家主导的资本成为外部资本战略收割的帮凶。金融自主化不仅是欧洲的问题，更是所有大国必须守住的主权底线。

八、绞杀卡巴斯基——得不到的就毁掉

2010年，“震网”（Stuxnet）事件被普遍视为网络战时代的分水岭。“震网”攻击事件是一起经过长期规划准备和入侵潜伏的活动，借助高度复杂的恶意代码和多个零日漏洞作为攻击武器，以铀离心机为攻击目标，通过造成超压使离心机转数异常加速，导致1000多台离心机被摧毁。该事件首次展示了网络攻击能够穿透网络空间，像导弹轰炸一样，让物理世界发生损毁。这一事件代表着美国打开了“潘多拉魔盒”，人们对网络战的担心变成了现实。“震网”被认为是第一个得到充分技术实证，对现实世界中的关键工业基础设施造成与传统物理毁伤等效的网络攻击行动，而且达到了预设的攻击目的。美国公然将网络空间武器化，向全球释放了“网络战”的魔鬼，使大国博弈从陆海空天延伸至无形的网络空间，攻防对抗愈发隐蔽、长期、体系化。在此背景下，具备发现、防护、分析与溯源APT能力的反病毒企业，已成为了大国竞争的战略力量。

美国通过资本的力量，意图全面控制欧洲的网络安全能力。而此时，在欧洲范围内，甚至在全球范围，有能力对美国发起的APT攻击进行分析曝光的网络安全企业寥寥无几。中国和俄罗斯寥寥无几的网络安全企业成为分析曝光美方APT网络攻击主力，而卡巴斯基作为俄罗斯网络安全企业的代表和支柱企业，为俄罗斯的网络安全发挥了重要的支撑作用。

卡巴斯基在“震网”、“方程式”（Equation Group）、“毒曲2.0”（Duqu 2.0）、“火焰”（Flame）以及“三角测量”（Operation Triangulation）等重大APT攻击事件中，是核心技术分析与披露方，同时推动全球了解国家级网络攻击行动，以分析美方国家级APT著称，是国际网络安全领域反APT的标杆之一。美国相关“旋转门”机构SentinelOne发布的报告认为，卡巴斯基的研究成果对我国内360、安天、奇安信等几家主要分析溯源美方APT重要企业的样本与事件分析方向，起到了重要的指引作用。尽管这篇报告充满了为美国网络攻击活动进行遮掩的私活，也对中国安全企业大肆贬低，但也反映出了卡巴斯基的技术能力。

2010年，“震网”被发现后，卡巴斯基发表十余篇报告和Blog，系统拆解其利用的LNK漏洞、签名驱动程序、工控系统破坏逻辑，明确其“国家级网络攻击武器”属性，指出仅国家力量可支撑如此复杂的漏洞与供应链攻击。

2015年2月，卡巴斯基披露“方程式”组织，命名源于该组织偏好复杂加密与混淆算法，指出其活跃可追溯至2001年，感染多个国家的数百台关键目标设备。揭示其具备改写硬盘固件、长期潜伏、模块化攻击等顶级APT能力，且与“震网”、“火焰”等武器存在技术关联，后续被业内广泛认为与美国NSA有关。

与各种长臂管辖中所找的借口一样，尤金·卡巴斯基的履历成了美方借以说事的目标。卡巴斯基毕业于克格勃高等学校（现俄罗斯联邦安全局学院）第四技术系，之后又就职于苏联国防部军工研究所担任密码研究员。苏联解体后卡巴斯基正式离开军工体系开始创业。这种情况本身是全球业界的常态，美方的“旋转门”机制更使美国安全企业的创始人、高管中前情报机构成员林立，但发生在其他国家，这就成了美方打压骚扰的借口之一。历史上也有传言称：尤金·卡巴斯基是俄罗斯终身情报官；卡巴斯基公司的两个工作组可以直接向其国家杜马汇报工作等，但都没有找到实证。

2009年，尤金·卡巴斯基还因对国家安全的贡献，获得了俄罗斯总统授予的俄罗斯联邦国家奖。14

俄罗斯联邦安全局（FSB）与国防部还分别向卡巴斯基实验室股份公司颁发了两项独立的许可证，证实该公司的反病毒软件产品符合俄罗斯安全机构的使用标准，特别是在保护涉及国家机密的资料方面。其中一份许可证由俄罗斯联邦安全局于2020年11月签发，有效期至2025年10月。另一份许可证最初于2019年1月签发，2024年2月由隶属于俄罗斯国防部的联邦技术和出口管制局重新签发15。

美方一直把卡巴斯基当作“眼中钉”，2007年制定的“拱形计划”的首要目标就是卡巴斯基，美国政府对俄罗斯网络安全公司的打压和禁用，是一个持续近20年的、逐步升级的过程。只是随着2015年斯诺登文件曝光“拱形计划”，外界才得知卡巴斯基早已被美国情报界视为针对全球网安业界的“头号目标”。对这样的目标，美方以“胡萝卜加大棒”等各种形式进行打压和围剿，从针对企业实体，到制裁企业高管个人，再到禁用产品等，不断扩大、不断强化，只有一个套路：最好能得到，得不到的，就毁掉。

2010年前后，美方私募资本General Atlantic16曾经试图通过投入巨资的方式，收购卡巴斯基的股份。这是一家总部位于美国的全球增长型私募股权基金，在欧洲网络安全领域曾有重要投资。但此次尝试没有达成控制卡巴斯基公司或者将其搬离俄罗斯的目的。

2015年6月，卡巴斯基捕获到了利用“毒曲”蠕虫对其企业内网的攻击，攻击者意图长期监控卡巴斯基的企业活动，并窃取其源代码。卡巴斯基经过大量调查，发现这是一次精心组织、精密实施的APT攻击，只有国家支持的团队才有能力做到，他们明确指认幕后黑手就是“毒曲”组织，因而将此次攻击样本命名为“Duqu2.0”。而三年前，正是卡巴斯基团队率先揭开了“震网”和“毒曲”的同源关系。Duqu2.0也被业内判定是美、以情报机构的联手行动。

最戏剧性的是针对卡巴斯基杀毒软件以及美国国会2018年国防授权法案件的禁用，起源竟然是美国NSA的某名员工计算机上安装了卡巴斯基反病毒软件，该员工私自将NSA的机密文件和木马工具带回家（该员工称其是为了在家工作），其在使用卡巴斯基软件进行扫描时，这些木马作业工具软件被卡巴斯基杀毒软件的文件监测系统扫描到，作为感知到的未知病毒样本上传到了卡巴斯基服务器17。对全球反病毒企业发现可疑的可执行文件，上传到服务器，进行深度分析、提取特征以升级病毒库本身是惯常做法。而卡巴斯基发现这些样本后也进行了分析工作。但美方认为，俄罗斯的情报机构获取了这些机密工具软件，从而得以监控美国情报机构的网络作业手法，或者绕过这些网络作业。

2023年，卡巴斯基监测发现自身高级管理人员的iPhone手机遭受了“三角测量”行动的网络入侵，进而发现了俄罗斯相关重要外交等领域人员也遭遇了相关攻击。“三角测量”行动是卡巴斯基发现并公开的、针对iOS设备的高级持续威胁（APT）间谍攻击行动，核心采用零点击iMessage攻击链与4个零日漏洞，隐蔽植入内存驻留型间谍程序，目标为大规模用户监控。

2017年美国国土安全部的行政命令18以及2018财年《国防授权法案》（NDAA）第1634条，以卡巴斯基可能与俄罗斯情报机构合作为由，要求所有联邦机构移除卡巴斯基的所有反病毒产品，包括但不限于：卡巴斯基反病毒软件（Kaspersky Anti-Virus）以及卡巴斯基互联网安全软件（Kaspersky Internet Security）等。该条款规定美国政府禁止使用卡巴斯基实验室的硬件、软件和服务，这也导致联邦采购条例（FAR）中增加了相关条款，禁止美国各机构和联邦承包商在2018年10月1日之后使用卡巴斯基的产品和服务。这项禁令后来被永久化，并在2024年扩大到涵盖所有美国企业。

2022年7月，美国联邦通信委员会FCC和美国国土安全部将卡巴斯基公司的网络安全设备和反病毒服务等加入“对国家安全构成不可接受风险”名单中19，与中国电信（美洲）公司、中国移动国际（美国）公司一起，被认定为对国家安全构成威胁的通信设备和服务提供者。

2024年6月，美国商务部工业与安全局（BIS）发布最终裁定20，禁止卡巴斯基（包括其美国子公司及关联公司）直接或间接向美国境内或美国人提供任何杀毒软件及网络安全产品或服务，进行全面封禁。

2024年6月21日，美国财政部外国资产控制办公室（OFAC）宣布21制裁卡巴斯基实验室的12名高管和高级领导人员，理由是其在一家被视为存在持续网络安全风险的公司中担任关键角色。

美国政府除了直接下场，还通过法律手段要求微软等操作系统巨头通过他们对网络安全产业的影响力和操控能力，限制与他们合作的全球网络安全厂商与卡巴斯基进行技术合作，对卡巴斯基公司形成全球“围猎”。总体来讲，美方从情报界发起、再扩展到行政部门、立法机构、监管机构，最终形成全面封禁、持续近二十年的不断“增压”的过程。其目的就是为了抑制俄罗斯卡巴斯基等网络安全公司的反持续性高级威胁能力，避免其自身的网络攻击被发现或者曝光，同时为其情报作业扫清障碍。

九、连根拔起——Gen Digital的资本收割

随着恶意代码数量呈几何指数激增，传统以人工处理为主的方法早已不能适应威胁形势的快速变化，全球反病毒企业都大量使用机器学习技术进行自动化分析和处理。全球主要反病毒厂商都广泛使用贝叶斯、决策树、支持向量机等算法用于改善前端检测和后端的样本分析，成为网络安全领域早期人工智能实战应用的主要产业力量。在2020年前后，人工智能技术被赋予了“终结型”技术的期待。而就在此时，爆发了一场关于“传统AV”和“下一代”AI反病毒技术的争论，这场争论颇似1997年所罗门和迈克菲的论战，其两个代表方仍是欧洲和美国的企业阵营。此时，多家美国企业宣称推出，抛弃原有特征检测，用机器学习/深度学习可以完全替代原有引擎，声称“传统AV”都是上一代杀毒技术，而纯AI引擎才是下一代杀毒技术。以SentinelOne、CrowdStrike为代表的新一批产业“保送生”以及号称40M AI库包打天下的Deep Instinct也受到追捧。

欧洲另一家老牌的杀毒企业F-Secure开始了舆论反击，其研究人员安迪・帕特尔(Andy Patel)撰文指出22，所谓“传统AV”与“下一代”的概念是纯属营销概念。他进一步指出：“我们每天接触大约50万个新样本，为了将这些样本分类并分析，已经在基础设施，存储和自动化方面投入大量资源。建设和完善基础设施需要十几年的时间。没有这种基础设施，以及对后端系统，样本分析自动化，样本存储和分类方向的持续改进，我们根本无法在威胁形势中保持领先地位。技术是一回事，但它们实际上等同于规则、逻辑、样本和元数据。这又高度依赖于相关的输入结果，而这些输入结果必须来自某处。”其愤懑的抨击这些企业没有用资金去改造“数据采集和分析基础设施”，而是“凭借这些巨大的风险资本支持的营销预算，他们用“传统AV”和“下一代”的观点轰炸了新闻媒体，传播现有的AV产品是“仅签名”形式的谬论，并杜撰独立测试组织的负面新闻”。

安迪・帕特尔的反击宣言来自一个巨大的数据宝藏，这些欧洲网络安全厂商长期运营大规模样本收集体系，从用户终端、云沙箱、邮件网关与合作伙伴渠道获取海量恶意样本与监测数据，为模型训练提供基础，使AI能够更快识别大量的新型威胁并提升检测准确度。23 24 25而在以海量数据为基础的AI训练体系中，个人安全产品是网络安全厂商最庞大、最敏锐的“感知器”。

在长期的资本加持下，全球多数大型企业杀毒市场被美国占据。从安全的角度看，企业级杀毒软件在数据采集上受限于数据合规、保护商业机密以及本地化网络策略的要求，绝大部分安全数据封闭在企业本地环境当中，除了用于病毒库升级之外大量数据无法采集与利用，难以用于AI模型的广泛训练与场景泛化。而个人版产品普遍采用云托管架构，在用户授权下能够收集终端的海量真实行为数据，为AI提供丰富、真实的攻击数据与极具价值的训练场景。因此个人版安全产品不仅是安全服务的载体，更具备更高的人工智能时代价值。而联想到“棱镜”门事件、“拱形计划”，个人用户的安全数据，对美情报机构的价值也不言而喻。

而在经历了长期、系统性的资本并购和产业整合后，欧洲残存的具有自主性的企业和能力几乎全面沦陷，如同“熟透的苹果”，此时，威胁逐步从以计算机终端为主，大规模向云、移动设备、IoT设备等广泛、多渠道传播。美国网络安全的巨头NortonLifeLock（前身为赛门铁克，现更名为Gen Digital）用“资本并购”与“硬性整合”的方式，再次挥舞资本的长锤重重落下，成为对欧洲反病毒产业的最后一击，不仅将欧洲反病毒产业仅存的硕果一扫而空，也借此为威胁泛化和人工智能时代的到来做好了准备。

2019年到2022年期间，赛门铁克出售企业业务与品牌后，其消费者业务更名NortonLifeLock（Norton与LifeLock两大品牌组合），这个网络安全巨头先后耗资约3.6亿美元、86亿美元，连续收购欧洲最重要的反病毒企业德国的小红伞（Avira）和捷克反病毒公司AVAST。

早在2008年，赛门铁克将目光投向欧洲，收购了英国的云邮件安全服务商MessageLabs，切入快速增长的云安全赛道。2016年，赛门铁克收购了身份保护公司LifeLock，业务从防范传统病毒破坏，转向防范身份盗用、数据泄露和隐私侵犯，一个全新的品牌“NortonLifeLock”应运而生。2019年赛门铁克将其企业级业务出售给博通（Broadcom）。此举犹如一次战略“瘦身”，在获得巨额现金的同时，也铺平了专注于消费者市场并购的道路。

卸下重负的NortonLifeLock，自2020年起，针对欧洲市场发起了堪称雷霆万钧的并购高潮，其行动之精准、规模之庞大，震撼了整个行业。2020年，它以3.6亿美元的价格，将德国老牌杀毒软件公司小红伞纳入麾下。小红伞在欧洲乃至全球拥有数以亿计的免费用户，这笔收购不仅带来了海量用户基础，更获得了进入欧洲市场的关键渠道与本地化运营经验。

捷克反病毒厂商Avast在2016年先行完成收购该国的另外一家知名反病毒企业AVG26，成为欧洲大陆仅剩的“出头鸟”。2015年美国NSA的“拱形”计划被曝光后，AVAST公司发表博客，Avast CEO文斯·斯泰克勒（Vince Steckler）公开抨击美国和英国的间谍机构，指出美国NSA及英国情报机构GCHQ曾监视包括Avast、AVG、俄罗斯的卡巴斯基实验室和中国的安天在内的安全公司。这些情报机构似乎正在针对非美国的安全公司。名单中没有包含任何美国或英国的公司。

斯泰克勒在这篇博客中公开表示，尽管有些公司极有可能妥协，“但这不是Avast会做的事”27。2021年6月，斯泰克勒因一场车祸离世，终年62岁。28

就在他去世后的第二年，NortonLifeLock以约86亿美元的惊天价格，收购了Avast。这笔交易是消费安全市场史上规模最大的并购之一，其意义远不止于Avast本身。这笔收购实际上是一次“一石三鸟”：将Avast、AVG以及NortonLifeLock自身旗下的小红伞三大品牌一举整合，这四个在欧美消费者中享有极高知名度、市场根基深厚的反病毒品牌，全部被汇集到同一面美利坚的产业旗帜之下。并购完成后，这些资产被统一整合至总部位于美国的母公司Gen Digital，一个横跨欧美、用户数以亿计的全球消费级安全战略枢纽宣告建成。同时，欧洲的最后一根“独苗”被连根铲起。

图11 Gen Digital的并购成长史

NortonLifeLock通过一系列精准、庞大且具有战略纵深的收购，将散落在欧洲乃至全球的消费级安全力量——其技术、品牌与最宝贵的用户群、以及在机器学习上积累的高质量数据——快速收拢至美国资本旗下，在消费安全市场形成无可争议的压倒性优势。对欧洲网络安全产业格局产生了深远且不可逆转的影响。

这是对曾经繁荣的欧洲反病毒产业体系中的本地规模化标志性企业进行的最后一次收割，迫使反病毒这一特殊的窄带产业集中度大幅提升，欧洲本土企业的独立发展空间被严重挤压，欧洲反病毒产业的自主性接近消失殆尽。

十、接管盟友防御——美军网络司令部的“向前防御”

2018年，就在欧洲的网络安全产业被美国以“同盟者”姿态通过技术共享、资本并购、市场蚕食等方式逐步排挤替代时，美国国防部发布新的网络战略，正式提出“向前防御”（Defend Forward）。

曾经欧洲的反病毒厂商是一座座牢固的“亚眠要塞”，它们拥有先进的反病毒技术、高质量的威胁分析数据和庞大的用户根据地。然而在产业衰落的背景下，作为美国的“盟友”国家，他们或被引导、或被蚕食，此时早已日渐式微，而“向前防御”的核心是要求尽可能在靠近对抗的源头进行防御，其关键实现（战术）途径，是与对手保持“持续交战”（Persistent Engagement），通过“向前狩猎”（Hunt Forward Operations，HFO）战术行动落地。

HFO由美国网络司令部（United States Cyber Command:USCYBERCOM）负责实施，其目标是应伙伴国家的要求开展严格的防御性网络行动，与合作伙伴共同寻找该国网络上的漏洞、恶意软件和对手踪迹，通过尽可能靠近对手活动的源头在网络空间与对手接触，从而达到扩大美网络活动的覆盖范围，削弱对手能力并从源头消除威胁的目的，而这里的“伙伴”很多都在欧洲。

“日本东京防卫研究所”（NIDS）编写的《美国网络司令部“向前狩猎”（Hunt Forward Operations）（2018-2025）——从数据、历史和实践的角度回顾七年的发展历程》报告指出29：从2018年到2022年，USCYBERCOM的网络国家任务部队（CNMF）约在30个国家内进行了HFO。在已公布成果的9国中，除赞比亚外，全部集中于欧洲‑大西洋地区。且接受国均具有以下特征：均为临近俄罗斯、伊朗等区域竞争国或面临其网络攻击威胁的中小国家（见图13）。

图12已公布HFO成果的东道国(9国)地理分布

2019年4月，一份兰德报告指出30，“美国及其盟国和北约目前正在提供财政和/或技术支持，以提高波罗的海三国的全面防御和非常规战争能力，其中包括协助提高网络安全、通信和战术监视能力。”俄乌冲突爆发前，美国也曾在乌克兰执行“向前狩猎”行动。2022年4月，美国网络司令部司令、NSA局长保罗・中曾根（Paul Nakasone）在国会听证及公开采访中证实31，应乌克兰政府邀请，美国网络国家任务部队（CNMF）于2021年12月向乌克兰派遣“向前狩猎”网络行动小组，在乌克兰境内停留近90天，在乌克兰政府关键信息网络中搜寻驻留的恶意程序与对手渗透痕迹，协助乌方研判网络威胁、提取恶意软件样本，并将威胁情报指标同步回传美国及相关合作伙伴。在军事冲突风险急剧升高后，该网络行动小组同美方其他驻外人员一道，于2022年2月俄乌冲突全面爆发之前撤离。

借助“向前狩猎”行动，美国本土众多安全厂商的产品也以迅雷之势进驻被美系资本瓜分的重要关键信息系统。2022年2月末，乌克兰国家警察以及其他政府部门面临大规模“分布式拒绝服务”(DDoS)攻击，美方在数小时之内联系了其国内网络安全厂商飞塔（Fortinet），美国商务部在15分钟内提供了销售许可，相关资金在数小时内获得批准。收到请求的8小时后，美已将飞塔软件安装到乌克兰方面的服务器上，以抵御攻击。

众击（CrowdStrike）、飞塔、派拓网络（Palo Alto Networks）等产品的进入，也将欧洲传统的“安全防御”力量转化为美国的向前防御与“制空权”平台。“向前防御”部分掠夺和迫使相关盟友国家让渡了网络空间安全技术部分主权，把重要关键信息系统置于美国的防御系统之下，又进一步将这些节点转化为其全球离岸作战（Off-Band Operations）的前线作战单位。

美国获得了对全球网络空间的感知能力、数据主权（C4ISR：指挥、控制、通信、情报、监视）。而欧洲沦为了美国“向前防御”和制空权争夺（Air Superiority）的前线阵地和战术枢纽。

表6美“向前防御”战略和美国内受益产业情况

欧洲的部分老牌企业和细分领域冠军，因为缺少了自我主导能力，不得不一步步接受了美国所设计的国际分工体系，虽然部分企业的技术能力仍然位于全球产业链偏上游的部分关键位置，但并不在金字塔的最顶端，而且反复遭受美国长臂管辖的干扰。其反病毒产业滑向无奈而悲凉的境地。

十一、启示录与欧洲的未来选择

欧洲反病毒产业三十年的消解史，并非偶然的市场更迭，从投资进入到控制权易主，从生态裹挟到无法逃离的资本黑洞，再到“向前防御”的步步紧逼和取而代之，每一幕都不是所谓的商业竞争：失去政治独立性的国家，也很难保有产业的独立性，甚至失去选择的权力。

欧洲反病毒产业，始于一个充满自信和技术理想的时代，却在霸权逻辑侵蚀下被美国凭借资本控制、安全捆绑与地缘争夺等手段，不断地剥夺着欧洲的防务自主空间。这种压迫并非短期策略，而是植根于美国霸权的核心需求，贯穿经济、安全、地缘等多个关键领域。欧洲企业即便使用“本地化”产品，其底层引擎、更新服务器、威胁情报网络，关键防御技术的决策权、数据流向的定义权、甚至安全标准的制定权，已在美国构建的体系下因失去自主性而崩塌，技术独立若无资本与国家战略支撑，终将沦为他人的战利品。

而从利益攫取者美方来看，实际是寡头资本，政府军队情报机构和美国大型企业，形成的一致行动人关系。围绕着寡头资本利益最大化，对他国企业形成绞杀。这种绞杀是一个温水煮青蛙的过程。在非常长的时间内，欧洲人没有看到这种风险，反而把产业送到美国上市或接受美国大型企业并购，并将此看成一种成就或者是一种出口。而当欧洲人反省过来之后，一定程度上已经悔之晚矣。而在这个过程中，美国寡头资本赚得盆满钵满，美国情报机构获得数据和行动自由，美国企业则占据了垄断性市场份额，均取得了集体性回报。

在此过程中，欧洲不是没有反抗过。例如法国尝试向谷歌公司收取“文化税”，欧盟出台《数据保护通用条例》（GDPR），试图以治理的角度增强博弈能力。但是二战后的多数欧洲国家已经失去了独立的自我主导能力。缺少了国家主权保障的产业水土，无法在互联网、信息化和网络安全构建起完整自主的产业支撑力量。在这种背景下，这些抗争也只是浅尝辄止。例如GDPR，其核心作用只能减缓一下被美国掠夺数据的速度，然后还要讨价还价地从美国攫取的红利中剥离可怜的一点点下来，事实上并不能从根本上改变欧洲产业在美国持续吸血下持续衰退的总趋势。

欧洲反病毒产业的衰落史为所有希望坚持主权独立、行为自主的国家提供了一个警示教材。网络安全从来不是一个单纯的市场经济领域，网络安全作为在各种经济业态中几乎仅有的、以对抗性为主导的特殊领域，先天带有国家安全色彩。如果把这个领域企业的兴衰成败完全交给自然的市场竞争和选择，其结果无异于放任国际资本和产业寡头任意绞杀、践踏本国企业。

网络安全领域中高质量需求，如反APT、反网络犯罪等，从不来自普通用户，其只能由政府、军队、公共安全部门、情报部门的生成，并且由政府预算进行拉动和保证。没有战略安全的需求的网络安全产业，只能是低水平的合规竞争。另一方面，对于网络安全领域的投融资行为，远非简单意义上的市场化投资，其背后毫无疑问地成为一种国家安全与发展利益的综合较量。国有资本作为中国的金融压舱石和稳定器，如何真正意义上体现出其是支撑国家主权和安全的国家资本，同样需要获得历史的检验。

此外，同样需要引起我们警觉的是应该保护哪些产业主体。可以看到，美方对我产业的绞杀绝不是单纯贸易战视角下祭出的那十几项实体名单。事实上，除了这一条“清单化”贸易视角明线之外，还有叠加资本渗透绞杀的“金融之手”，还有其情报机构长期隐匿行动，类似“拱形”计划秘密画像绞杀的斗争暗线。能否有效应对这些问题，也成为对中国国家安全能力的考验。

张文木先生在《世界地缘政治中的中国国家安全利益分析》一书中将“独立完整的主权，统一的民族市场和有独立研发能力的国家战略企业”称为民族国家的三大支柱。并进一步指出“国家主权是技术产权的政治保证；民族市场是孵化和试验技术，尤其是国家战略性技术的基地；而独立的研发能力是保持国家科技、尤其是战略性科技在国际上的领先地位的最基本的前提”。其关于国家主权和技术产权的辨证关系总结，发人深省。国家作为技术主权的政治保证既是先天要素，也需要主动设计的连接过程。对于国家战略产业而言，其并不只是自发的驱动，必然有一个历史自觉。历史自觉从来都是双向性的。对于关乎国家战略安全的人工智能、网络安全领域的关键技术企业来说，是依然抱有对美国主导旧国际化体系的幻想，以纳斯达克上市追求高市值回报为目标，还是主动地向捍卫国家主权安全技术支点转化，同样也是一种选择。

将目光回到欧洲，欧洲显然已经意识到危险的未来。已经开始着手扶植ESET、G DATA等残存的本土企业。十国反导联盟的产生，是欧洲试图摆脱对美制武器与情报系统的依赖，重塑国土安全格局的举措。但长期以来日趋荒废的自主工业基础、内部各国防务诉求分歧，且长期受美国战略牵制、被美国情报机构全面渗透，要想单凭自身之力完全摆脱美国束缚、真正实现全方位防务自主，难上加难。可以说，当前欧洲与美国谈防务自主，一定程度上是“与虎谋皮”。在以国家作为工具获取国家利益和寡头市场的方面，美国不可能将欧洲视为价值观同盟伙伴。在其长臂管辖和长期压制下，全球任何产业都不可能独善其身，而是被置于“美国优先”的功利天平上反复算计和无情碾压。

欧洲应该清醒地认识到，承受美国的重压，他们并不孤独。在全球范围内，还有着爱好和平、正义、公正、自由的力量能够在其寻求战略自主的过程中为其充当平衡器。中国一贯倡导构建全球命运共同体，主张网络空间是人类共同的活动空间，网络空间前途命运应由世界各国共同掌握。各国应该加强沟通、扩大共识、深化合作，共同构建网络空间命运共同体。对欧洲来说，是在旧有美式霸权体系下寻求自我重启，还是与中方共同重塑产业生态、共同捍卫全球网络空间的公平秩序？历史正在等待欧洲给出它的最终选择。

参考资料：

1.SWP报告：欧洲网络安全五大领域依赖美国，存在“武器化”风险

2.1998年6月9日，所罗门被NAI以6.42亿美元股票收购，交易在同年8月完成。(LosAngelesTimes.NetworkAssociatestoBuyAnti-VirusFirm.1998.6.

https://www.latimes.com/archives/la-xpm-1998-jun-10-fi-58317-story.html)

3.朱传婧.知者无畏：一个真实的病毒世界[M],金城出版社,2002.ISBN：7-900069-67-4

4.https://www.ta.com/about/

5.AnEasyWin:UsingSIGINTtoLearnaboutNewViruses.2015.https://edwardsnowden.com/wp-content/uploads/2015/06/project-camberdada.pdf

6.新华社.综述：多国网络安全厂商抨击美英监听计划.2015.

http://www.xinhuanet.com/world/2015-06/25/c_1115727217.htm

7.Joyce等-2025-ClarAVy a tool for scalable and accurate malware family labeling

8.BitDefender.BitDefender Receives Funding to Support Global Expansion and Advance Leadership Position in Antivirus Software and Data Security.[EB/OL].2007-12-06

https://www.bitdefender.com/en-us/news/bitdefender-receives-funding-to-support-global-expansion-and-adv0

9.Axxesscapital.Romanian-American Enterprise Fund(RAEF)[EB/OL].

https://axxesscapital.net/romanian-american-enterprise-fund-raef/.

10.RAF.https://rafonline.org/en/who-we-are/history

11.Bitdefender.Bitdefender gibt Investment von Wachstums-Kapitalgeber Vitruvian Partners bekannt.[EB/OL].2017-12-01

https://www.bitdefender.com/de-ch/news/bitdefender-gibt-investment-von-wachstumskapitalgeber-vitruvian-partners-bekannt

12.Lightbown,S.(2017,June 30).Vitruvian closes€2.4B fund as European PE fundraising soars.PitchBook.

https://pitchbook.com/news/articles/vitruvian-closes-24b-fund-as-european-pe-fundraising-soars

13.Vitruvian Partners raises EUR4.0bn to invest in high growth companies[EB/OL].2020-07-31.

https://www.privateequitywire.co.uk/2020/07/31/288116/vitruvian-partners-raises-eur40bn-invest-high-growth-companies

14.Martin Arnold,2011,General Atlantic buys 20%Kaspersky stake,

https://www.ft.com/content/b7cc912a-24d7-11e0-a919-00144feab49a

15.Kharon，2024，Licenses reveal Russia had access to Kaspersky software amid US security concerns

https://www.kharon.com/brief/licenses-reveal-russia-had-access-to-kaspersky-software-amid-us-security-concerns

16.General Atlantic，https://www.generalatlantic.com/

17.Gordon Lubold和Shane Harris，2017，Russian Hackers Stole NSA Data on U.S.Cyber Defense

https://www.wsj.com/articles/russian-hackers-stole-nsa-data-on-u-s-cyber-defense-1507222108

18.CISA，2017，BOD 17-01:Removal of Kaspersky-bRANDed Products，

https://www.cisa.gov/news-events/directives/bod-17-01-removal-kaspersky-bRANDed-products

19.FCC，2024，List of Equipment and Services Covered By Section 2 of The Secure Networks Act，

https://www.fcc.gov/supplychain/coveredlist

20.BIS,2024,Commerce Department Prohibits Russian Kaspersky Software for U.S.Customers,

https://www.bis.gov/press-release/commerce-department-prohibits-russian-kaspersky-software-u.s.-customers

21.OFAC，2024，Treasury Sanctions Kaspersky Lab Leadership in Response to Continued Cybersecurity Risks，

https://home.treasury.gov/news/press-releases/jy2420

22.F‑Secure Labs.Next-gen is no silver bullet for cyber security[EB/OL].2016‑11‑16

https://labsblog.f-secure.com/2016/11/16/whats-the-deal-with-next-gen/

23.Avast Builds Threat Detection Based on Machine Learning to Protect Users from Zero Day Attacks,Malware,and Privacy Threats-Aug.31,2015

24.https://blog.avast.com/2015/06/26/avast-ceo-speaks-out-about-u-s-and-u-k-spy-agencies/

25.https://www.avast.com/technology/ai-and-machine-learning#pc

26.https://techcrunch.com/2016/07/07/avast-acquires-antivirus-maker-avg-for-1-3bn-to-gain-scale-and-dive-into-iot-security/

27.https://blog.avast.com/2015/06/26/avast-ceo-speaks-out-about-u-s-and-u-k-spy-agencies/

28.https://grad.uci.edu/2021/06/16/remembering-the-life-of-vince-steckler/

29.https://www.nids.mod.go.jp/publication/research_analysis/pdf/ra5.pdf

30.Flanagan S J,Osburg J,Binnendijk A,et al.Deterring Russian Aggression in the Baltic States Through Resilience and Resistance[R].RAND Corporation,2019.

https://www.rand.org/content/dam/rand/pubs/research_reports/RR2700/RR2779/RAND_RR2779.pdf

31.Paul Nakasone.美国参议院军事委员会听证会证词[EB/OL].2022-04-05

https://www.armed-services.senate.gov/imo/media/doc/22-21_04-05-2022.pdf