Rynek oszalał na punkcie spółek cyberbezpieczeństwa. Ja mówię: STOP

Dwadzieścia dziewięć minut średnio ma dziś firmowy zespół bezpieczeństwa od momentu, w którym haker wejdzie do sieci, do momentu, w którym rozleje się po kolejnych systemach i będzie pozamiatane. Dwadzieścia dziewięć minut na wykrycie, decyzję i reakcję. Krócej niż odcinek serialu, a to średnia, bo rekordowy zaobserwowany atak rozlał się w SEKUNDY.

Wszystko dlatego, że po drugiej stronie nie siedział już tylko człowiek z klawiaturą, tylko wspomagany sztuczną inteligencją automat. Koszt przeprowadzenia ataku spadł na łeb i giełda to wyceniła. CrowdStrike plus 120% w pół roku. Palo Alto plus 140%. Fortinet ponad sto. Ja dziś nie przychodzę dosypywać do tej euforii.

Przychodzę z trzema pytaniami, które trzeba zadać. Czy zagrożenie jest realne? Czy wyniki to potwierdzają? A do tego, ile za to wszystko każą sobie dziś płacić? Bo między „świetny biznes” a „świetna inwestycja” stoi jeszcze jedna cena.

Na końcu powiem wprost, co z tym wszystkim zamierzam zrobić ja.

Rynek oszalał na punkcie spółek cyberbezpieczeństwa. Ja mówię: STOP

Najpierw warto zrozumieć, skąd wzięło się nagłe szaleństwo na sektor cyberbezpieczeństwa. Na początku kwietnia Anthropic pokazał światu Claude Mythos, model AI o rzekomo wyjątkowo silnych zdolnościach hakerskich. Model potrafił samodzielnie odkrywać poważne luki w systemach operacyjnych i przeglądarkach. Co wtedy zrobił rynek? Zareagował ostrą wyprzedażą spółek z sektora cyberbezpieczeństwa. Nie kupnem. Sprzedażą. Palo Alto i inni zostali wtedy ekstremalnie przecenieni, bo inwestorzy pomyśleli, że skoro AI potrafi robić to, za co do tej pory płaciliśmy firmom security, to pewnie te firmy staną się zbędne.

Mniej więcej w tym samym czasie Sam Altman, CEO OpenAI, udzielił wywiadu portalowi Axios, gdzie powiedział, że w ciągu roku zobaczymy poważne zagrożenia cybernetyczne i że wielki cyberatak wspomagany przez AI w 2026 roku jest „jak najbardziej możliwy”. Cyberbezpieczeństwo z tematu niszowego nagle trafiło do głównego nurtu rozmów o bezpieczeństwie narodowym, a po tych słowach Altmana nastawienie do cyberbezpieczeństwa zaczęło się zmieniać.

W efekcie więc jeszcze w kwietniu dominował szok i strach inwestorów po premierze modelu Mythos, ale już pod koniec sierpnia… nastroje były zupełnie odmienne.

W ciągu kilku tygodni narracja się odwróciła o 180 stopni. Rynek przeszedł od „AI zastąpi firmy security” do „AI radykalnie zwiększa liczbę ataków, więc firmy security będą zarabiać jeszcze więcej”.

Tej zmianie narracji towarzyszył szereg innych wydarzeń. Google opisał wykorzystanie generatywnego AI przez atakujących na skalę przemysłową. Biały Dom 2 czerwca wydał rozporządzenie wykonawcze nakazujące wzmocnienie cyberobrony systemów federalnych i tworzenie specjalnych narzędzi AI do obrony.

Trzy tygodnie później agencje bezpieczeństwa Five Eyes, czyli sojuszu USA, Wielkiej Brytanii, Kanady, Australii i Nowej Zelandii, wspólnie oświadczyły, że najsilniejsze modele frontier AI zmieniają zdolności ofensywne w zakresie cyberbezpieczeństwa w horyzoncie miesięcy, nie lat.

W lipcu z kolei OpenAI puścił swojego newsa o tym, że ich agent „uciekł”, wykorzystując luki w zabezpieczeniach. Jest w tym sporo marketingu, o czym już mówiłem w innym wpisie, ale nie zmienia to faktu, że tylko dolało to oliwy do ognia.

Do tego ponad 130 organizacji podpisało globalny apel o pilne wzmocnienie cyberobrony wobec AI.

W sierpniu wszystko zostało zwieńczone wynikami finansowymi spółek z branży, które po prostu były takie same jak większości SaaS-ów – bardzo dobre. CrowdStrike, Fortinet, Rubrik opublikowali rekordowe kwartały. Zobaczcie, jak klarownie to się układa. Kwiecień był fazą odkrycia i strachu. Maj i czerwiec fazą instytucjonalizacji zagrożenia. Lipiec fazą materializacji ryzyka, a sierpień fazą walidacji w rekordowych wynikach finansowych. Ta walidacja w twardych wynikach odróżnia ten hype od czystej spekulacji.

Czy zagrożenia AI w cyberbezpieczeństwie są naprawdę tak poważne? Tak, tego nikt tutaj nie będzie kwestionować.

CrowdStrike w corocznym raporcie o zagrożeniach odnotował 89% wzrost aktywności atakujących wspomaganej przez AI. Firma śledzi ponad 280 grup hakerskich. Średni breakout time, czyli czas od włamania do rozlania się atakującego po sieci ofiary, a więc czas, jaki zespół bezpieczeństwa ma na reakcję, zanim napastnik przejmie kontrolę nad kolejnymi systemami, spadł do około 29 minut. Najszybszy zaobserwowany przypadek trwał sekundy.

Anthropic opublikował dane o 832 zablokowanych kontach, które próbowały wykorzystywać ich modele do działalności cybernetycznej. Udział kont klasyfikowanych jako średnio lub wysoko ryzykowne wzrósł z 33% do 56% między pierwszą a drugą połową badanego okresu.

Palo Alto Networks z kolei przy wsparciu zaawansowanych modeli AI znalazł 75 podatności systemów na atak w ciągu jednego miesiąca. To ponad siedmiokrotnie więcej niż typowa miesięczna liczba bez wykorzystania AI.

Tylko że trzeba pamiętać o jednej rzeczy. To wszystko raporty i dane firm, które działają w branży, więc ich rzetelność jest dyskusyjna. Naprzeciw tym danym wychodzi Narodowe Centrum Cyberbezpieczeństwa, które… zachowuje więcej sceptycyzmu.

W lipcowej ocenie bezpieczeństwa napisali, że wpływ AI na cyberprzestępczość jest na razie bardziej ewolucyjny niż rewolucyjny. To znaczy, że rozwój zagrożeń jest widoczny, ale nie zmienia się w sposób nagły i skokowy. AI poprawia celowanie w ofiary, przyspiesza badania luk, zwiększa skalę, ale ransomware pozostaje ransomware, a phishing phishingiem. Większość organizacji nadal pada z powodu klasycznych problemów: słabych haseł, niezałatanych systemów czy błędnej konfiguracji.

Moim zdaniem prawda leży gdzieś pośrodku. Koszt przeprowadzenia ataku cybernetycznego dramatycznie spada. Rozpoznanie celu, analiza luk, generowanie kodu, social engineering, iterowanie – to wszystko staje się tańsze i szybsze dzięki AI. Nie mamy armii autonomicznych robotów hakujących non stop, ale mamy wyższą produktywność dla istniejących technik ataku. To wystarczy, żeby uzasadnić strukturalnie wyższe wydatki na cyberbezpieczeństwo.

Zresztą ten wniosek potwierdzają ostatnie wyniki całego sektora cybersecurity.

CrowdStrike opublikował pod koniec sierpnia najlepszy kwartał w historii firmy. Przychody wzrosły o 26% rok do roku i rosły najszybciej od 2024 roku!

Jednocześnie zyski były znacząco lepsze od prognoz analityków, a skala tego pozytywnego zaskoczenia była największa od 5 kwartałów.

Najważniejszy wskaźnik to ARR i net new ARR. ARR, czyli Annual Recurring Revenue, to roczne przychody powtarzalne. Suma wszystkich aktywnych subskrypcji w ujęciu rocznym. Jeśli firma ma 100 klientów płacących po 10 tysięcy dolarów miesięcznie, to jej ARR wynosi 12 milionów. Kluczowa miara dla firm sprzedających oprogramowanie w modelu subskrypcyjnym, bo pokazuje, ile pieniędzy można oczekiwać od obecnych klientów w ciągu najbliższego roku.

Net new ARR to ile nowego ARR firma dodała w danym kwartale, od nowych klientów i przez zwiększenie wydatków u istniejących klientów. CrowdStrike dodał rekordowe 333 miliony dolarów net new ARR, co oznacza wzrost o 51% rok do roku. Pobił własne prognozy o ponad 45 milionów.

Prezes firmy, George Kurtz, powiedział, że ich nowy produkt AIDR, moduł do bezpieczeństwa agentów AI, ma potencjał stać się większy niż tradycyjna ochrona endpointów, tj. urządzeń końcowych, jak komputer, laptop czy serwer.

Prezes argumentuje to tak: szacuje się, że każdy pracownik będzie miał średnio 90 agentów AI. Nawet jeśli ta liczba jest przesadzona, to wciąż wielokrotnie więcej chronionych punktów niż fizycznych urządzeń. Nowy produkt, AIDR, jest osobnym, oddzielnie płatnym modułem, a jego przychody niemal potroiły się w ciągu jednego kwartału. To tym ekscytuje się rynek.

Dostaliśmy informacje, że potencjalnie cały adresowalny rynek dla branży nagle się drastycznie powiększa, bo kiedyś był obliczany na bazie liczby ludzi, a teraz jest obliczany na bazie liczby agentów, a tych jest i będzie znacznie więcej.

Tyle że CrowdStrike to zakład na przyszłość – świat, w którym każdy pracownik ma dziewięćdziesięciu cyfrowych agentów do pilnowania, a w tym samym sektorze toczy się równolegle druga gra, dużo bardziej przyziemna: o ochronę rzeczy, które można fizycznie dotknąć. Fabryk, elektrowni, wodociągów. I tu na scenę wchodzi spółka o zupełnie innym profilu.

Fortinet to firma bardziej dojrzała, z silną pozycją w bezpieczeństwie sieciowym, a tutaj skala przyspieszenia jest jeszcze bardziej imponująca.

Skąd to przyspieszenie przychodów do 26% rocznie z 7%? Na konferencji CFO Christiane Ohlgart tłumaczyła, że infrastruktura krytyczna jest dziś atakowana znacznie częściej niż jeszcze kilka lat temu, bo historycznie nie była połączona z sieciami IT i nie miała poważnych zabezpieczeń cybernetycznych. Jednak w Europie regulacje zaczynają wymagać od operatorów tej infrastruktury konkretnych standardów bezpieczeństwa. Fortinet jest jedyną dużą firmą z branży, która poważnie inwestuje w OT od lat i jest liderem tego segmentu.

OT, czyli Operational Technology, to systemy i urządzenia sterujące fizycznymi procesami w firmach i przemyśle. Przykłady to systemy sterujące linią produkcyjną w fabryce, robotami przemysłowymi, elektrownią, siecią energetyczną, wodociągami czy magazynem.

Klasyczne IT chroni komputery, serwery i dane. OT chroni maszyny i infrastrukturę, które coś realnie robią w świecie fizycznym. Dla Fortinetu OT jest ważne, bo coraz więcej takich urządzeń jest podłączonych do sieci, więc mogą zostać zaatakowane.

CrowdStrike chroni więc agentów, Fortinet chroni maszyny, a Rubrik zbudował biznes na założeniu, że żadna ochrona nie jest szczelna i prędzej czy później ktoś się przebije. Zamiast obiecywać mur nie do przejścia, sprzedaje plan na dzień, w którym mur padnie.

Najszybciej rosnąca spółka w zestawieniu. Przychody wzrosły tu o 38%.

Rubrik rozwija dwa filary biznesu. Security Cloud do szybkiego odzyskiwania danych po atakach oraz Agent Cloud do zarządzania i zabezpieczania agentów AI w firmach. Podejście tej firmy jest o tyle innowacyjne, że spółka nie chce przede wszystkim ochronić Cię przed każdym atakiem. Wychodzi z założenia, że jakaś część ataków zawsze może się udać. Dlatego chce zapewnić możliwość szybkiego odzyskania utraconych danych, tak aby firma mogła wznowić swoje procesy i pracę bez konieczności ulegania szantażowi hakera.

Trzy inne spółki też miały mocne kwartały. Palo Alto Networks opublikował na początku września przychody rosnące o 34%. Zscaler w maju podał 25% wzrost przychodów. SentinelOne urósł 21%.

Więc mamy nie tylko silną narrację, ale do tego mamy wyniki, które potwierdzają, że ta narracja się materializuje. Brzmi świetnie, tylko czy to wszystko brzmi na tyle świetnie, żeby dalej w to inwestować?

Tu kończy się część materiału, w której byłem adwokatem tego sektora, a zaczyna ta, w której zostaję jego księgowym. Bo wszystko, co usłyszeliście do tej pory, jest realne. Zagrożenie, rosnące budżety, rekordowe wyniki. To odpowiedź na pytanie „czy to dobre biznesy z perspektywami”, ale o tym, czy to dobre INWESTYCJE, decyduje pytanie zupełnie inne: ile ten dobry biznes dziś kosztuje.

Zerknijmy sobie na mnożniki wyceny. Zacznę od CrowdStrike, bo to prawdziwe oczko w głowie całego sektora i spółka, w którą w DNA Premium inwestowaliśmy już dobre kilka lat temu. Dziś, po ostatnim rajdzie, notowana jest po mnożniku 32x EV/Sales, czyli wartość całego przedsiębiorstwa to ponad 30 razy więcej niż roczne przychody całej spółki. Nie zysk, nie przepływy pieniężne, a przychody!

Mówimy o spółce, która nie jest start-upem, który może wystrzelić i rosnąć o 100% rok do roku. To już spółka o sporej masie i skali. Świetna, ale z naturalnymi ograniczeniami.

Dla porównania średnia wycena za ostatnie kilka kwartałów to 20x EV/Sales, czyli teraz jest ponad 50% drożej, a już wtedy CrowdStrike uchodził za relatywnie drogi na tle innych spółek z sektora oprogramowania.

Fortinet, mimo że znacznie tańszy przez pryzmat tego samego mnożnika, też zaliczył ogromny re-rating o ponad 100% od początku roku i dziś jest wyceniany tak jak w szczycie hossy z 2021 roku. Jednocześnie dynamika wzrostu jest… niższa niż wtedy.

Podobnie wygląda sytuacja w innych spółkach. Rzućcie sobie okiem jeszcze na wycenę Palo Alto. Powiem tylko – LOL. Spółka latami notowana po ok. 11x Forward EV/Sales, raptem w chwilę wystrzeliła do poziomów 22 tego samego mnożnika.

Żadne z fundamentów któregokolwiek z tych biznesów nie poprawiły się aż tak. Ostatnie wystrzały cen są wyłącznie pochodną narracji i oczekiwań.

A żeby nie było, że „drogo” to tylko moje odczucie, zróbmy prosty rachunek na przykładzie CrowdStrike'a. Załóżmy scenariusz BAJKOWY, gdzie spółka przez trzy lata rośnie po 26% rocznie, bez jednego potknięcia i podwaja przychody. Brawo. Tylko że jeśli w tym czasie mnożnik wróci choćby do własnej średniej z ostatnich kwartałów z 32 do 20 razy przychody, czyli wciąż do poziomu bardzo drogiego, to kurs przez te trzy lata urośnie o... jakieś 25%. Osiem procent rocznie. W dzisiejszej cenie już teraz siedzą trzy lata bezbłędnej egzekucji, a każde potknięcie, choćby jeden słabszy kwartał, spowoduje zjazd mnożnika windą w dół.

Do tego największym dostawcą cyberbezpieczeństwa pozostaje Microsoft, który i tak wciska swoje rozwiązania w pakietach do innych produktów. Dziś rynek rośnie tak szybko, że miejsca starcza dla wszystkich, ale jeśli przyjdzie rok, w którym budżety przestaną rosnąć po 30%, to rozpocznie się wojna cenowa o nowego klienta. Przy wycenie np. 32-krotności przychodów w cenie nie ma na taki scenariusz miejsca.

Tu nasuwa mi się porównanie do sektora pamięci w półprzewodnikach. Micron i SK Hynix też stały się w pewnym momencie ulubieńcami rynku. Narracja była taka, że więcej AI oznacza więcej pamięci, a to oznacza więcej przychodów. Ta narracja się potwierdziła. Przychody ze sprzedaży pamięci eksplodowały wielokrotnie z kwartału na kwartał.

W oprogramowaniu cyberbezpieczeństwo pełni dokładnie tę samą rolę ulubieńca, co pamięci w półprzewodnikach. Narracja jest analogiczna. Więcej AI oznacza większą powierzchnię ataku, a to oznacza więcej wydatków na security. Ta narracja też jest prawdziwa, ale analogia to nie jeden do jednego. Pamięć miała masywne przyspieszenie wyników, a przychody rosły o setki procent, bo Big Tech kupuje tego na potęgę do budowy centrów danych.

Cyberbezpieczeństwo rośnie solidnie 20–40% rocznie. To bardzo dobry wynik, ale to nie potrojenie przychodów z kwartału na kwartał. Rynek tymczasem wycenia cyberbezpieczeństwo, jakby czekało je przyspieszenie na miarę półprzewodników. Moim zdaniem ono nie nadejdzie w tej skali, a na pewno nie w takim tempie.

Dlatego, mimo że uważam cały sektor za świetny biznes, to nie jestem zainteresowany dziś utrzymywaniem tutaj większej pozycji. Oczywiście nie odważę się grać na spadki, bo zarówno narracja, jak i momentum wynikowe jest świetne, ale jeśli narracja znów się zmieni, to te spółki mogą zaliczyć solidną korektę w kilka dni.

W sektorach-ulubieńcach rynku nie kupujecie przyszłości, tylko oczekiwania przyszłości, a oczekiwania są dużo bardziej zmienne niż realia. Widzieliście to zresztą w tym materiale dwukrotnie. W kwietniu rynek był pewien, że AI zabije firmy security, w sierpniu, że uczyni je bogatymi. Miałem w swoich portfelach swego czasu i CrowdStrike, i Rubrik, i SentinelOne i było super. Teraz się nie rzucam.

Żeby to jednak nie była wieczna wymówka, zostawiam sobie i Wam trzy konkretne punkty na powrót do tematu. Nie wszystkie muszą być spełnione jednocześnie.

1. Mnożniki wracają w okolice własnych średnich.
2. Momentum wynikowe trwa. Net new ARR liderów wciąż rośnie po 30–50%, a moduły agentowe zamieniają się w konkretny procent przychodów.
3. Narracja stygnie, a media finansowe przestają nazywać sektor najgorętszym na rynku.

Jeśli dwie z tych trzech zejdą się w czasie, to witam z powrotem.

Do zarobienia,
Piotr Cymcyk