Vanta签署协议，收购AI安全公司Pillar Security

Pillar Security宣布，Vanta已于2026年11月9日签署最终协议，收购这家AI安全公司。按计划，此次交易将把Pillar的智能体测试与运行时防护能力同Vanta的Trust Graph连接起来，将AI治理政策与其旨在管控的系统关联起来。

Dor Sarig和Ziv Karliner于2023年创立Pillar。当时，他们认为AI的作用将不再局限于回答提示词，还会借助数据、工具和决策代表组织采取行动。Pillar表示，其软件覆盖AI应用和智能体的整个生命周期，包括发现这些应用和智能体、测试其防御能力，以及阻止越权行为。测试设计和运行限制会根据每个智能体的业务角色、获授权限及风险负责人来确定。Pillar的研究人员会分析AI系统的失效模式，并利用分析结果开发新的测试和防护措施。

这项交易将把这项技术纳入Vanta的信任与合规业务。Pillar在公告中称，Vanta为超过20,000家公司提供服务。Vanta的平台将安全与合规政策及控制措施，同其负责人和组织承诺关联起来。

将政策与运行时防护相连接

根据计划，组织的规则将为Pillar测试智能体和约束其运行中行为提供依据。测试结果将反馈至Vanta，指出哪些控制措施需要加强；运行时安全事件则将成为所需防护措施正在发挥作用的证明。

Vanta的AI治理产品页面介绍了一份涵盖开发者笔记本电脑、生产代码和供应商平台的资产清单，并将每个智能体使用的模型、提示词和数据访问权限关联到Trust Graph。该软件还涵盖基于政策的智能体访问权限与行为限制、对超出批准范围活动的实时监控，以及通过Vanta的Trust Center向买家、审计人员或监管机构提供证明材料。

这将使Vanta的治理工作从记录和控制智能体，进一步扩展到测试其行为，并在其运行时执行边界限制。两家公司表示，其目标是缩小书面AI政策与应用于运行中智能体的技术控制措施之间的差距。

AI安全生命周期框架

Pillar还为这些控制措施制定了一套通用方法。该公司称，其安全AI生命周期（Secure AI Lifecycle，简称SAIL）框架的下载量已超过50,000次，并涵盖七个生命周期阶段中的91项AI风险。该框架为开发、机器学习运维、安全和治理团队提供了一套通用的AI风险管理方法，覆盖从初始开发到实际运行的全过程。这些阶段从政策与资产发现开始，依次经过安全态势分析、对抗性测试、部署控制和隔离执行，最后进入监控与退役阶段。

从执行管控到审计证据

Pillar的治理与合规文档介绍了一种规则引擎，可阻止使用未经批准模型的部署、确保AI数据留在获批区域、识别许可冲突，并限制有权部署模型或更改政策的人员。针对第三方AI的独立控制措施，会在外部系统接触公司数据或生产环境之前，根据内部要求对其进行评估。在合规方面，Pillar会将资产发现记录、对抗性测试结果和运行时防护措施的遥测数据汇总为审计人员所需的文档，并将治理检查结果和运行时日志与监管要求对应起来。这条证据链说明了此次收购的理由：用于执行AI政策的活动，也可以证明组织符合Vanta信任计划的要求。

对Vanta而言，此次收购将为其平台现有的政策和责任归属记录增添测试能力与执行管控的遥测数据。Pillar表示，其目标是触达更多团队，并将其技术接入组织已在运行的信任计划。双方未来仍需开展整合工作，因此，此次待完成交易的核心交付成果将是建立一条持续的证据链，将书面政策与智能体的实际运行行为连接起来。