CrowdStrike：净新增 ARR 涨 51%，史上最好一季

一、公司简介：净新增 ARR 涨 51%，史上最好一季

CrowdStrike Holdings, Inc.，纳斯达克代码 CRWD，总部在美国得州奥斯汀。

它做云端安全——用一个装在终端上的「轻客户端」采集数据，把判断放到云端。平台上已有 33 个云模块，覆盖终端安全、云安全、身份保护、威胁情报、安全运营。

2027 财年第二季（截至 7 月 31 日，8 月 26 日发布）：总收入 14.7 亿美元（同比 +26%）、订阅收入 14.0 亿（+27%）、年末 ARR 58.4 亿（+25%）。

但最该看的是这一个数：

净新增 ARR 3.328 亿美元，同比 +51%——历史最高。

一家 ARR 已经 58 亿美元的公司，一个季度新增的 ARR 还能同比涨 51%。——这在软件行业里是很罕见的加速度。公司 CEO 直接说「这是 CrowdStrike 史上最好的一季」。

二、2011 年，一个「云原生」的判断

2011 年，George Kurtz（前 McAfee 首席技术官）和 Dmitri Alperovitch 创立 CrowdStrike。

当时的安全软件主流是「本地部署 + 特征库匹配」——在每台电脑上装一个庞大的引擎，靠「已知病毒的特征」去比对。问题是：新病毒没有特征，就防不住。

他们做的事不一样：把判断搬到云端，用「行为」而不是「特征」识别攻击。——客户端只负责采集，云端负责分析，全球所有客户的数据互相印证。

这个架构带来一个天然优势：一个客户被攻击，所有客户同时获得防护。——这就是「网络效应」在安全行业的形态。

2019 年 6 月上市。2024 年 7 月，一次内容更新导致全球大量 Windows 电脑蓝屏，公司声誉受重创，股价大跌。——但它随后用「客户承诺计划」和免费模块稳住了续约率，这两年重新加速。

三、钱从哪来：一个客户端，33 个模块

它的商业模型是「land and expand」（先落地，再扩张）：

第一步，装一个客户端（Falcon agent），通常从一个模块开始（比如终端防护）。这一步单价不高，目的是「进场」。

第二步，加模块。同一个客户端上，客户可以陆续开 33 个模块——云安全、身份保护、漏洞管理、日志分析……每加一个，ARR 就涨一截。而边际成本几乎为零。

本季的数字：订阅收入 14.0 亿（+27%）、非 GAAP 订阅毛利率 81%。

81% 的订阅毛利率，是纯 SaaS 的典型水平。——因为它不卖硬件，也不算「履约成本」。

另一个关键产品是 Falcon Flex：客户先买一个「额度池」，然后在池子里自由切换模块。——这把「买哪个模块」的决策，从「年度采购」变成「随时取用」。

本季：采用 Falcon Flex 的账户，ARR 已超 22.9 亿美元，同比 +101%。——一年翻倍，说明客户接受这种「预算池」的方式。

四、这份财报：营业利润率 25%，自由现金流 26%

几个关键数：

非 GAAP 营业利润 3.72 亿美元，利润率 25%。

经营现金流 5.30 亿，自由现金流 3.77 亿，FCF 利润率 26%。

这两个数放在一起看，是这家公司最值钱的地方：SaaS 公司普遍「增长快但亏损」，它做到了「增长 26%、营业利润率 25%、FCF 利润率 26%」。

为什么 FCF 利润率（26%）高于营业利润率（25%）？因为订阅是「先收钱、后服务」——客户预付一年，公司按月确认收入，中间的现金留在账上。——这是所有订阅制生意的共同特征：现金流好于利润表。

指引：FY2027 全年净新增 ARR 增速指引上调 630 个基点，至中值 34%。

630 个基点是一次很大的上调。——公司给的理由是「Mythos 时刻」（一个 AI 安全事件）让市场接受了「AI 需要安全」这件事。

五、两个必须盯的数

第一个：净新增 ARR 3.328 亿，同比 +51%。

这个数是 SaaS 公司最核心的领先指标——它算的是「这一季新签的年度合同金额减去流失的」，而不是「已确认的收入」。

收入是「过去」，ARR 是「未来」。净新增 ARR +51%，说明未来四个季度的收入增速会往上走，而不是往下。

对比一下：它的总收入增速是 +26%，而净新增 ARR 增速是 +51%。——这两个数的差，就是「加速度」。

但要小心：净新增 ARR 是「金额」，不是「客户数」。公司说「新客户带来的净新增 ARR 也创了记录」，但没有披露客户数——所以无法判断「是大客户买得多」还是「客户数在增加」。

第二个：Falcon Flex 的 ARR 22.9 亿，同比 +101%。

这个产品值得单独说，因为它改变了「安全软件怎么卖」这件事：

传统方式是「按模块买 license」——客户要预算、要审批、要预测明年用多少。

Flex 是「先买一个池子，随时取用」——客户不用猜「明年需要什么」，只要把预算放进去。

对客户的好处是灵活性，对公司的好处是「提前锁定预算」：一旦客户的年度安全预算进了 Flex 池，竞争对手就很难挤进来。

——这是「提高转换成本」的一种方式，比「技术锁定」更柔性，也更难被拆掉。

六、真正的风险：估值、竞争，和「一次事故」

第一，估值。ARR 58.4 亿、增速 25%——这样的公司，市场给的估值倍数通常在 20 倍 ARR 以上。——意味着「任何一次增速放缓」都会带来剧烈回撤。

第二，平台化竞争。Palo Alto（PANW）走的是「不断收购、把产品拼成一个平台」的路，它的规模比 CrowdStrike 大得多。两家在做同一件事——「成为客户安全预算的唯一入口」。

第三，一次事故的长期代价。2024 年 7 月那次全球蓝屏，让「把所有安全放在一朵云上」这件事暴露了风险。公司后来推「分批更新」和「客户可控的部署」，但客户心里的账还在。

第四，净新增 ARR 的高增长能持续多久。51% 的净新增增速，建立在一个「AI 安全需求爆发」的窗口上。窗口关上时，这个数会掉得比收入快。

第五，「Mythos 时刻」是一次性叙事。公司把这一季的加速归因于某个 AI 安全事件——这类「事件驱动的需求」，通常会在两三个季度内消化完。

七、这一类：坏掉一个地方，别的地方不能跟着废

归类：卖「不出事」的保险，但收费方式是按年订阅。

同一类的两家都写过：

Palo Alto（PANW）——「平台化并购」的路：不断买公司，把产品塞进同一个平台，靠「买得多、管得少」说服客户。

飞塔（FTNT，同批）——「自研芯片 + 硬件带订阅」的路：自己做 ASIC，硬件毛利高于同行，再用硬件装机量带订阅。

三家的差别在「怎么留住客户」：Palo Alto 靠「一站式」、飞塔靠「性价比 + 硬件」、CrowdStrike 靠「一个客户端 + 模块叠加」。

而三家卖的东西是同一个：让客户相信「出了事，我能第一时间知道并挡住」。

认知栏目里有一篇讲的是同一件事的物理原型：《一个地方坏了，别的地方跟着一起废》。一艘船、一座桥、一套电网，最重要的设计不是「不出问题」，是「出了问题不扩散」。

安全软件也是这个逻辑：它的价值不在于「挡住所有攻击」（不可能），而在于「一个终端被攻破时，能不能立刻隔离、能不能追溯、能不能不让它横向移动」。

这就是为什么「终端」这个位置值钱：它是最靠近「出事点」的地方。谁控制了终端，谁就掌握了「第一现场」的数据——而数据是判断的基础。

看这类公司，最该问的一句是：它卖的是「工具」还是「位置」？卖工具的会被替换，卖位置的（终端、身份、网络入口）会一直收租——因为换位置的代价，远高于换工具。

数据出处与口径说明

数据出处：CrowdStrike 2027 财年第二季财报新闻稿（2026 年 8 月 26 日）与同日提交的 8-K（SEC 原文）。

口径一：财年 1 月 31 日结束。「2027 财年第二季」对应 2026 年 5–7 月。与日历年公司的「第二季」不可直接对比。

口径二：除收入外，本文引用的财务数字均为非 GAAP。公司明确注明「All financial figures other than revenue are non-GAAP as of Q2 FY27」。GAAP 口径下的营业利润与每股收益会明显更低（主要差在股权激励）。本文未引用 GAAP 值，是因为公司摘要以非 GAAP 为主，GAAP 细项需查完整报表。

口径三：ARR（年度经常性收入）不是收入。它等于「当前订阅合同的年化金额」，是存量指标；净新增 ARR 是「本季新签减流失」，是流量指标。两者都领先于收入。

口径四：Falcon Flex 的 ARR 是「采用该模式的账户」的合计 ARR，不等于「Flex 产品本身的收入」——这些客户仍在用其他模块。

本文推算：收入增速（+26%）与净新增 ARR 增速（+51%）的差额 25 个百分点，为两个披露值相减，用于说明「加速度」，不是精确的增速差。