模型厂商买安全公司这件事此前有过先例，但买法通常是把扫描器当功能补进去。10 月 15 日 Cohere 签署收购 AISLE 的意向书时，把理由说得更往底层走了一步：漏洞发现是少数几种「要么复现要么不复现」的可验证问题，而这种真值恰好是当前模型评测与训练最缺的东西。
先说交易本身。意向书不具约束力，收购价格、支付结构和交割时间均未披露，交易仍需签署最终协议。AISLE 2025 年 10 月走出隐身，办公室里大约 50 人，总部在旧金山与布拉格，创办者 Ondrej Vlcek 是捷克杀毒厂商 Avast 的前 CEO。走出隐身约一年后，AISLE 披露它发现了 500 多个此前未知、并被分配了 CVE 的漏洞，覆盖 100 多个代码库。
数字里值得单独拎出来的两条
按公司口径，AISLE 发现了 OpenSSL 1 月安全发布中的全部 12 个漏洞，以及 curl 最近一次发布 24 个 CVE 中的 18 个。它官网还引述了安全学者 Bruce Schneier 的一句话，把功劳记作「2025 年 OpenSSL 分配的 14 个 CVE 中的 13 个」。这些数字的价值在于可以在公开通告里逐条核对，和多数安全厂商的自述指标不同——它同时也很少说明对闭源企业代码的表现如何，而这才是客户真正的付费场景。
另外几条指标就属于典型的厂商自述了：真实阳性率 91%、开发方接受 85% 的修复建议、成本效率约为另一产品线的十倍，以及某大学基准三个分类的榜首，页面均未给出方法论。这些数字适合当作厂商口径引用，不适合当作横向比较的依据。
三个人去了三个位置
人事安排透露的信息往往比公告本身更清楚。AISLE 的 CEO Vlcek 出任新设的 Cohere Cyber 高级副总裁；COO Jaya Baloo 直接出任 Cohere 全公司首席信息安全官；联合创始人 Stanislav Fort 任 AI 安全副总裁，同时进入核心模型研究与训练。两位创始人进入服务全公司而非服务客户产品的岗位，通常意味着买方要的不只是那支扫描团队，还有他们手上那条可验证的数据线。Cohere 还宣布对布拉格做长期投入，把这里定为全球 AI 网络安全中心——这是在 Reliant AI 收购与 Aleph Alpha 组合推进之后的第三个欧洲支点。
把它放进 Cohere 自己的叙事就说得通了。这家公司的主打是主权 AI，客户是不能把敏感数据送到美国超大规模云的那批政府和受监管企业。对这类买家来说，一个既能提供模型、又能审计并加固模型所运行代码的供应商，比单卖模型更有说服力。更进一步，漏洞发现这件事还能反过来喂给模型开发：一个能稳定复现的漏洞，是比多数基准更硬的真值信号，多数竞争对手买这类信号靠的是外部红队。
最该追问但公告没写的那一处
AISLE 原先提供四种运行位置，其中一种叫「你的云」——直接跑在客户自己的 Bedrock、Foundry 或 Vertex 账号里，用客户账号能访问到的模型。Cohere 的公告承诺了私有云、本地和完全气隙环境，但从头到尾没有点名那三家超大规模云，也没有说明「私有云」是否包含客户自己的云账号。这个留白有实际影响：如果产品从客户账号里跑出来，模型路线就可能收窄到 Cohere 自家模型；对正在试点该工具的安全团队来说，模型选型、部署位置和并购后的条款变化，都值得在交易交割前落到书面上。目前官方及行业暂未披露更多细节，后续将持续跟进迭代动态。
这笔交易给出的信号比金额更有意思：当模型能力逐渐趋同，能被验证的真值数据正在变成比算力更稀缺的资产，而谁掌握了产生真值的过程，谁就更接近下一轮的定价权。