十年不漲價、零業務開發、年收破兩千萬美金：Thinkst Canary 用蜜罐和絆索打造了一門反直覺的資安生意

TL;DR

• Thinkst 是一間五十人的南非資安公司，靠蜜罐（honeypot）產品 Canary 做到超過兩千兩百五十萬美金 ARR，十年沒漲過價，零主動銷售
• Canary 是一個硬體或雲端裝置，偽裝成 Windows 主機、Synology NAS、IBM 大型主機等，攻擊者一碰就觸發警報
• Canary Tokens 是免費的數位絆索，包括假 AWS API 金鑰、真的信用卡號碼、DNS 紀錄等，攻擊者「不敢不試」的心理是核心設計
• 新功能 Breadcrumbs（麵包屑）能把 SSH 金鑰等誘餌散佈在網路各處，引導攻擊者走向你的 Canary 陷阱
• 整套 Canary Token 伺服器是 GPL 開源的，可以自架，但 Thinkst 不靠鎖功能賺錢，靠的是「不讓客戶失望」這件最古老的事

這集在 2026 年七月二十一日播出的 The Changelog Podcast，由主持人 Adam Stacoviak 訪問 Thinkst 創辦人 Haroon Meer。The Changelog 是一個專注在開源和軟體開發的老牌 podcast，在開發者圈子裡有很高的知名度。Haroon Meer 是南非資安圈的傳奇人物，2001 年加入 SensePost 擔任 CTO，做了近十年的滲透測試後，2010 年創辦 Thinkst Applied Research，2015 年正式推出 Canary 產品。他在 BlackHat Las Vegas 幾乎年年發表研究，是那種在資安圈提到名字大家會點頭的人。Thinkst 從頭到尾沒拿過創投的錢，靠口碑長到今天的規模。

攻擊者「不敢不試」的心理學

Canary 的核心概念其實簡單到有點反直覺。

傳統蜜罐的用法是放一台機器在網路邊界，收集外面有誰在掃描你。Haroon 的洞察是：把蜜罐放在你的內部網路裡。在那個位置，沒有任何正常員工應該去碰它。所以只要有人碰了，就代表你的網路裡有不該在的人。

這個邏輯聽起來太簡單了，但正因為簡單，所以有效。

拿 Canary Tokens 裡的 AWS API 金鑰當例子。你到 canarytokens.org 申請一組真的 AWS API 金鑰，把它丟在伺服器上。一個攻擊者入侵了那台伺服器，發現這組金鑰，他能怎麼辦？就算他懷疑這可能是陷阱，他也必須試一下，因為萬一這是通往整個 AWS 帳號的鑰匙呢？太誘人了，不試不行。

他一試，你就收到通知：「你放在 server 32 上的那組金鑰剛被使用了。」

不是兩年後在新聞上看到自己公司被駭，而是在攻擊者還在摸索你網路環境的第一週就知道了。

一台硬體裝置，一鍵變身任何作業系統

Canary 的硬體版本是一個很小的裝置，上面只有一顆按鈕。插上網路，兩分鐘內部署完畢。它的設計哲學是「像廚房家電一樣，你不可能裝錯」。

Haroon 在節目上做了一個現場 demo，讓一台原本偽裝成 Windows 主機的 Canary，一鍵切換成 Synology NAS。切換之後，MAC 位址自動換成 Synology 的，開啟的服務也跟著變，甚至用 Nmap 掃描它的 TCP/IP stack fingerprint 都會顯示正確的結果。你要做成 Cisco 路由器、IBM 大型主機，都是一鍵的事。

更狠的是，Canary 可以在上面建立假的檔案系統。你可以放一個叫 secret.doc 的密碼保護文件在「network diagrams」這個共用資料夾裡。攻擊者在你的內網看到這東西，你覺得他忍得住不點嗎？

他一點，你就收到警報，包含他用了什麼帳號密碼嘗試登入。如果他用的是會計部 Bob 的帳密，你馬上知道 Bob 的帳號被盜了。

之前在AI Agent 跨不進 production 的真相聊過企業落地的四道關卡，其中一道就是安全。Canary 這種「零維護、高信號」的偵測方式，某種程度上是目前企業資安工具裡最接近「部署完就忘記它」的東西。

信用卡陷阱和麵包屑：兩個讓人拍案叫絕的新功能

Canary Tokens 裡有一個最近推出的信用卡 token。你申請之後會拿到一張真的、可以刷的信用卡號碼，背後是 Thinkst 跟銀行合作發的。把這張卡號存在某個不應該被找到的地方，比如你媽的桌面。如果有人找到它並拿去刷，你就會收到通知說：「這張只存在你媽桌面上的信用卡，剛被拿去在巴林買東西了。」

這裡面有一層更深的博弈。當越來越多銀行加入這個計畫，攻擊者在批量測試偷來的信用卡時，就得開始擔心：「這張卡會不會是 Canary Token？」這讓偷來的信用卡變得不那麼好用。

另一個剛宣佈的新功能叫 Breadcrumbs（麵包屑）。概念來自糖果屋的故事：你在網路各處撒下麵包屑，引導攻擊者走向你的 Canary 陷阱。

比方說你的 Canary 偽裝成一台 SSH 伺服器。Breadcrumbs 功能會幫你生成一組 SSH 金鑰和設定檔，你把它放在 Haroon 的 MacBook 上。攻擊者入侵了 Haroon 的電腦，找到這組 SSH 金鑰，順著它連到你的 Canary。Canary 不只知道有人來了，還知道「這組金鑰只放在 Haroon 的 MacBook 上」，所以你立刻知道 Haroon 的電腦被攻破了。

如果你是大公司，買了五台 Canary，可以用 Breadcrumbs 在每台伺服器上都放一組指向 Canary 的 SSH 金鑰。等於用五台 Canary 的錢，得到了幾百台機器的偵測覆蓋率。

十年不漲價的生意怎麼做的

Thinkst 的商業模式讓大部分 SaaS 公司看了都會搖頭。

五台 Canary 硬體，一年七千五百美金。之後每多一台，一年一千美金。十年來沒漲過價。零主動銷售，沒有業務團隊打電話給你。Canary Tokens 完全免費，連付費版跟免費版的功能都一模一樣。整個 Canary Token 伺服器的程式碼是 GPL v3 開源的，你可以自己架。

Haroon 說他們不斷收到 VC 和 PE 的關注，每個人第一句話都是「你知道你少賺了多少錢嗎？」有個大學生在 LinkedIn 上 DM Haroon，說他剛聽了某個 CISO 的演講，那個 CISO 說他們一直等 Thinkst 漲價，但 Thinkst 就是不漲。

Haroon 的回答很直白：我們做一個產品，收一個合理的價格，客戶喜歡就繼續用。不需要把桌上每一塊錢都撿起來。

這套邏輯聽起來很理想主義，但數字說話：從第一年就獲利，ARR 現在超過兩千兩百五十萬美金，有單一客戶連續七年付超過百萬美金，Thinkst 從來沒主動聯繫過他們。

我覺得這個故事最有趣的地方在於它挑戰了一個 SaaS 圈子裡根深蒂固的假設：你必須持續漲價、必須有業務團隊、必須把免費版功能閹割掉，才能成長。Thinkst 證明了另一條路是可行的。前提是你的產品真的好到客戶會自己來、自己加購、自己幫你傳播。

開源、自架、還有 OpenCanary

除了付費的 Canary 和免費的 Canary Tokens，Thinkst 還維護了一個叫 OpenCanary 的專案。它是 Canary 硬體裝置的精簡開源版本，你可以裝在 Raspberry Pi 或任何 Linux 機器上，得到一個基本的蜜罐功能。

Haroon 提到他們甚至遇過客戶已經在內部大量部署 OpenCanary，然後問他們「為什麼我還要付錢買 Canary？」Haroon 的回答是：「如果 OpenCanary 對你來說夠用，那就用。我們就是為了不想付錢的人做的。」

但 Canary 和 OpenCanary 是完全不同的程式碼庫。Canary 的所有通訊都走加密 DNS 通道，不需要在防火牆上開洞。它只跟你內部的 DNS 伺服器溝通，包括韌體更新都是透過 DNS 推送。這種工程深度是 OpenCanary 沒有的。

另一個關鍵差異是每個付費客戶在 AWS 上都有自己獨立的 console，不是多租戶架構。Haroon 的理由很務實：如果用多租戶，總有一天會出錯，某個客戶能看到另一個客戶的資料。所以乾脆不做。這是老派的安全隔離思維，但在一家資安公司裡，這種偏執是正確的。

為什麼 Canary 在 AI 時代反而更重要

Adam 在節目開頭問了一個好問題：在 AI 和 agentic 攻擊的時代，Canary 的價值有沒有改變？

Haroon 的回答讓我覺得這可能是整集最重要的觀點：Canary 不在乎攻擊者怎麼進來的。

不管是社交工程、零日漏洞、韌體後門、還是 AI 驅動的自動化攻擊，攻擊者進到你的網路之後，他們都有目標，都得去碰某些東西。而那就是他們碰到你的 Canary 和 Canary Tokens 的時候。

在攻擊變得更頻繁、更自動化的世界裡，Canary 的信號反而變得更有價值，因為它不是在海量日誌裡找異常。它就是一個簡單的事實：「這個不該被碰的東西被碰了。」

Nvidia 在他們的技術部落格上寫過怎麼把 DNS token 嵌入 AI 模型裡來偵測模型被竊取。Grafana 則公開發文說 Canary Tokens 是他們抓到攻擊者的「無名英雄」。連全球各地的執法機構都在用 Canary Tokens 追蹤兒童性虐案件。

一個五十人的南非公司，不靠 VC、不靠業務團隊、不靠漲價，用一個概念上極度簡單的技術，做到這些事情。

這大概是我今年聽過最讓人舒服的商業故事。

想看更多這類產業觀察和商業模式拆解，歡迎訂閱 wilsonhuang.xyz。