“外界并非只有 Meta 一家公司表达过收购意向。揭秘”

作者丨郑佳美
编辑丨马晓宁

在做出最终决定前，收购始末李博与 Virtue AI 团队进行了多轮深度复盘。华人

这绝非一次常规的安全职场跳槽，也非简单的团队初创团队被大厂吸纳。对于核心成员而言，揭秘他们审视的收购始末核心命题并非“是否加入 Meta”，而是华人更具战略意义的考量：如果过去两年构建的 AI 安全能力，能够真正嵌入拥有数十亿用户规模的安全产品生态中，他们是团队否愿意迈出这一步？

这一契机并非始于收购谈判，而是揭秘源于更早的战略合作。在 Meta 提出收购之前，收购始末它已是华人 Virtue AI 的客户。Virtue AI 团队首先需像所有初创企业一样，安全通过实战证明其产品的团队核心价值。

Meta 并非易与之合作的客户。其拥有独立的模型、产品及安全团队，内部技术资源雄厚。对于此类巨头，仅提供单点工具的外部供应商很难渗透进其核心系统。

然而，Virtue AI 凭借的不仅是一款产品，更是一整套经过验证的 AI 安全判断体系。在 Meta 实际部署并运行一段时间后，双方的合作关系发生了质变。

Meta 所看重的，不仅是自动化红队、运行时防护、Agent 安全测试等具体技术能力，更是一支长期深耕 AI 安全、且在真实客户场景中打磨出成熟产品的团队。

真正促使李博及团队认真考虑收购事宜的关键转折点，是 Meta 正在全力推进的 Personalized Agents（个性化智能体）。

过去，AI 主要扮演“聊天窗口”的角色：用户提问，模型回答。若回答错误，风险通常局限于内容层面——如总结偏差、建议荒谬或代码漏洞。但 Agent（智能体）截然不同。

Agent 将深入用户及企业的工作流，可能访问邮箱、日历、代码仓库、数据库及内部系统，甚至调用工具、执行命令、修改文件、发起请求，并替代用户完成一系列复杂操作。

这意味着，AI 的风险已从“说错话”升级为“做错事”。

这正是李博及 Virtue AI 过去几年致力于解决的核心问题：当 AI 走出论文与 Demo，真正融入真实世界时，如何确保其安全性、可信度与可控性？

01 从学术研究到真实客户：安全工程的落地

在创立 Virtue AI 之前，李博已是国际 AI 学术界备受瞩目的青年学者，斩获多项具有全球影响力的荣誉，包括被誉为“诺贝尔奖风向标”的斯隆研究奖（Alfred P. Sloan Research Fellowship）、MIT Technology Review TR35（全球35位35岁以下科技创新者）、IEEE AI's 10 to Watch、IJCAI Computers and Thought Award、NSF CAREER Award，以及多篇国际顶级会议最佳论文奖。

在学术论文中，安全问题可被拆解为多个独立方向：鲁棒性（robustness）、隐私（privacy）、安全性（security）、对齐（alignment）及泛化能力（generalization）。每个方向均有其定义、实验、数据集及评测方法。然而，创业后，李博面对的是截然不同的挑战。

企业客户不会首先询问攻击样本在 Benchmark 上的表现，也不仅关注模型在公开评测中的分数。他们的问题更直接，且源于真实业务场景：

• 银行安全负责人需应对监管要求与客户数据保护；
• 保险公司合规团队需确保系统不泄露敏感信息；
• 大型科技公司产品经理需在上线速度与安全风险间寻求平衡；
• 基础模型公司的红队成员则需不断挖掘模型边界，测试其在复杂任务中是否会被诱导、滥用或绕过限制。

这些从业者每天都在追问同一个问题：我能否放心地将 AI 部署到生产环境中？

Virtue AI 创立后，李博团队致力于将学术研究中的安全问题，转化为企业可真正部署的产品。这极具挑战性。研究可以证明某种攻击的可行性，但企业需要的是一套完整的流程：上线前如何测试、上线后如何防护、出问题时如何追溯、风险如何记录、权限如何控制、合规如何交代。

正是在服务这些客户的过程中，Virtue AI 逐渐形成了一套更工程化的判断：AI 安全不是一个单点功能，而是一套覆盖开发、测试、部署及运行全过程的基础设施。

过去两年，Virtue AI 服务了多家 Fortune 500 企业，并与国际领先 AI 实验室合作，开展模型与 Agent 的安全评估。尽管客户行业各异，但面临的问题日益趋同：

• 金融行业最早将 AI 安全视为刚需。银行、保险及资管机构受严格监管且处理大量敏感数据。对它们而言，AI 系统能否上线，不仅是技术问题，更是合规、审计及责任问题。
• 大型科技公司及基础模型公司则更早遭遇前沿风险。Prompt Injection（提示词注入）、模型滥用、Agent 攻击、工具调用风险等，已从论文案例变为产品团队每日面临的真实场景。
• 企业软件、办公自动化 Copilot、客服系统及代码生成平台也在加速采用 AI。许多公司初衷仅是让 AI 辅助写邮件、总结文档或生成代码，但很快发现，一旦 AI 连接内部系统，安全边界即被重新打开。

在不同场景下，安全负责人、产品经理、工程团队及法务合规团队的关切点各不相同：产品团队关注上线速度，安全团队关注风险边界，法务合规关注责任与审计，业务团队关注效率提升。

Virtue AI 的使命，是将这些不同角色的关切整合进同一系统：

1. 上线前：自动化红队。解决基础问题：在 AI 进入业务前，企业是否清楚其潜在故障点？Prompt Injection、越狱、数据泄漏、越权访问、Agent 滥用等问题，应尽可能在上线前暴露。
2. 上线后：运行时防护。鉴于任何测试无法覆盖所有真实情况，AI 进入生产环境后，仍需实时检测恶意 Prompt、危险工具调用、异常 Agent 行为及敏感数据泄漏。
3. 这正是 VirtueGuard的定位。它并非仅处理文本的简单 Guardrail，而是面向真实企业环境的实时防护系统。企业风险不会局限于单一语言或输入形式，可能来自文本、图像、视频、音频、代码，或涉及跨语言、跨系统、跨工具的复杂任务。
4. Agent 阶段：VirtueAgent Suite。随着 Agent 从生成内容转向调用工具、访问系统、执行动作，安全系统不能仅关注输入输出，还需审视 Tool、MCP、Memory、Action、Network 等环节，判断每一步是否符合企业安全策略。VirtueAgent Suite 旨在成为 Agentic Systems 的 AgentGuard 和 Gateway，既在 Agent 执行动作前发现风险，也在运行中约束其访问、调用及执行权限。
5. 治理与合规。大型企业不仅关心 AI 是否出错，还需回应监管与审计：是否符合企业政策与行业规范？是否留存完整日志？风险管理流程是否可追溯？

因此，Virtue AI 衡量产品效果的指标多元：漏洞发现数量、风险类别覆盖、攻击拦截率、误报率、系统延迟、上线时间缩短，以及是否帮助客户建立可审计的治理流程。

02 Meta 的需求：超越单一工具

回归 Meta 收购 Virtue AI 的本质。从形式上看，这接近硅谷常见的团队收购模式。Meta 初期关注的并非单一产品，而是更广义的 AI 安全能力。

模型安全、Agent 安全、红队、治理、运行时保护，这些能力均与 Meta 未来的 Personalized Agents战略紧密相关。对 Meta 而言，Personalized Agents 不仅是新的 AI 应用形态，更意味着 AI 将更深入地融入用户生活与工作，理解用户偏好，协助完成任务，并在更多系统与工具间行动。

这也正是安全风险被放大的领域。若模型仅回答问题，安全系统可侧重内容边界；但若 Agent 能替用户执行任务，安全系统必须明确：它在何种上下文中行动？代表谁行动？拥有何种权限？行动前是否需确认？行动后是否可追溯？

这与 Virtue AI 过去两年的经验高度契合。他们在企业客户身上验证了 AI 安全基础设施的必要性。进入 Meta 后，这些经验有望被整合进更大规模的产品系统中。这也正是 Virtue AI 一贯的目标：让每个人都能使用安全且可信的 AI（making AI secure and trustworthy for everyone）。

然而，决策过程充满挑战。团队需权衡研究自主性与团队完整性、产品延续性与既有客户责任。更重要的是，他们需判断进入 Meta 后，能否真正影响核心系统，而非仅停留在边缘位置。

尽管外界有多家公司表达兴趣，但 Virtue AI 最终选择 Meta，是因为其产品线、组织架构及安全需求，与 Virtue AI 过去两年的积累最为匹配。

换言之，这并非简单的“被大厂收购”，而是一位研究者与一支创业团队，在经历学术研究、产品验证及真实客户洗礼后，正式步入下一代 AI 系统建设核心的过程。

03 当 AI 成为“数字员工”

李博对 Agent 时代有一个关键判断：未来 AI 安全最大的挑战，不在于模型能力增长过快，而在于安全基础设施、治理流程及行业标准未能同步跟进。

强大的模型若缺乏强有力的安全系统，将放大既有风险。过去，AI 安全讨论多聚焦于模型是否输出危险内容、产生幻觉或被越狱。但在 Agent 时代，问题更趋近于传统的企业安全问题。

若将企业内的 AI Agent 视为“数字员工”，企业需重新设计其入职、授权、监督及退出机制。过去属于身份管理、权限控制、企业安全及审计的范畴，如今均成为 Agent 安全的一部分。

在此场景下，Prompt Injection的危险性显著升级。在普通聊天中，Prompt Injection 主要影响模型输出；但若 Agent 能调用工具、读取文件、访问邮件或执行命令，被注入的指令将直接影响真实动作。一个看似普通的网页、邮件或文档，都可能成为攻击入口。

更复杂的是多步组合风险。Agent 的每一步单独看可能合理：读取文件、调用工具、生成代码、修改配置。但这些步骤串联起来，可能导致越权访问、数据泄漏或破坏性操作。

安全系统必须理解的不仅是单次输入输出，而是整个执行链路。因此，Agent 安全不能仅依赖模型层面的回答。

04 安全：从发布前的最后一道门到系统内核

近年来的行业事件，使这种变化更加直观：

• 模型过度迎合用户：表明 AI 安全不仅是阻止危险内容输出，还包括防止模型强化用户的错误判断、负面情绪或冲动行为。这不仅是体验问题，更涉及对齐（Alignment）、可信 AI 及安全。
• AI 搜索摘要给出荒谬答案：说明可信 AI 不仅是幻觉问题，还涉及信息来源、语境理解、检索质量及系统设计。若企业内部知识库混入旧文件、错误文件或低质量文档，AI 可能将其总结为看似权威的答案，反而放大组织内部错误信息。
• Coding Agent 误删生产数据库：直接证明当 AI 能执行动作时，风险已从“答错”升级为“做错”。随着 AI 编程助手普及，另一风险也在增大：AI 生成的代码可能包含安全弱点，开发者也可能因过度信任模型而减少审查。

这些事件共同指向一个趋势：AI 安全不能再仅作为产品发布前的最后一步。

过去，安全常被视为发布流程的一环：模型训练完成、产品制作完毕，随后进行评测、红队测试、合规审查，最后上线。

但在 Agent 时代，这种方式已显不足。安全必须更早介入产品设计、权限系统、工具调用、运行时监控及治理流程。

这也是李博对 Alignment与 AI Security的理解方式：
* Alignment关注 AI 系统的目标、价值观及行为是否符合人类意图；
* AI Security关注系统在真实环境中抵御攻击、滥用及异常行为的能力。

在 Agent 时代，这两者难以分割。

一个系统是否可信，不能仅看模型在公开评测中的分数，或是否输出安全答案。更重要的是：它能访问什么数据？调用什么工具？执行什么动作？是否符合权限？是否留存审计记录？是否能在运行中被持续监控？

因此，前沿模型的安全测试正变得愈发复杂。公开系统卡、Agentic Safety 测试、Computer Use 测试、Coding Capability 测试、Cyber Evaluations 等将变得至关重要。测试不能仅询问模型几个普通问题，而需将其置于有目标、有上下文、有工具使用能力的复杂场景中，观察其实际行为。

红队机制也需变革。内部红队适合持续嵌入研发流程，在训练、微调及产品化过程中发现问题；外部红队则提供独立视角，在关键发布节点帮助团队发现盲区。更成熟的方式，是让安全评估成为模型迭代的一部分，而非发布前的最后一道检查。

治理同样如此。AI 安全治理的难点不仅在于技术变化快、风险定义模糊，更在于参与方众多。研究团队、产品团队、法务、合规、政策制定者、客户、监管机构乃至社会公众，对“可接受风险”的理解各不相同。

因此，治理不能仅靠几条原则，而需将原则转化为可执行、可衡量、可审计的流程。组织既要追求快速创新，也要对风险负责。

05 一位 AI 安全研究者的新坐标

从研究者，到创业者，再到 Meta Superintelligence Labs，李博的职业路径背后，折射出 AI 安全地位的根本性转变。

在学术界，她研究 AI 系统为何不可靠、不安全、不可信。在 Virtue AI，她面对客户每日提出的现实问题：系统能否上线？风险是否可见？权限是否可控？出问题能否审计？

进入 Meta 后，她与团队将面对更大规模的产品系统及更复杂的 Personalized Agents 场景。此事最值得关注的，或许不仅是李博的去向，而是 AI 安全正从边缘走向中心。

未来 3 年，AI 安全将从“模型安全”演进为“系统安全”与“Agent 安全”。企业不再仅在上线前测试 AI，而是在开发、测试、部署、运行的全过程中，持续进行红队测试、监控及治理。

这或许是李博及其团队加入 Meta 最值得关注的意义。

这不仅仅是一个个人的职业去向，或一个普通团队加入大厂的故事，而是一个 AI 安全研究者在经历学术研究与创业验证后，正式进入下一代 AI 系统建设核心的历程。

当 AI 仅是聊天工具时，安全可以是最后一道检查。

但当 AI 开始替人做事时，安全必须成为系统本身。