帕洛阿尔托：34% 里有多少是买来的

一、公司简介：防火墙不该按端口放行，该按应用识别

帕洛阿尔托网络（Palo Alto Networks），美股代码 PANW，总部在加州圣克拉拉。

它是全球最大的网络安全公司之一，也是「平台化」这个词在安全行业的提出者。

二〇二六财年第四季（截至七月三十一日），营收 34.1 亿美元，同比 +34%。

下一代安全 ARR（NGS ARR）91.0 亿美元，同比 +63%。

剩余履约义务（RPO）212 亿，同比 +34%，首次突破 200 亿。

GAAP 营业利润 1.72 亿（去年同期 4.97 亿），GAAP 净亏 2.82 亿（每股 -0.35）。

非 GAAP 净利 8.53 亿（每股 1.02，预期 0.98），非 GAAP 营业利润率 29.6%。

全财年：营收 114.8 亿（去年 92.2 亿，+24%），非 GAAP 每股收益 3.84，调整后自由现金流 44.1 亿（利润率 38.4%）——连续第四年超过 38%。

而这一季最亮的一个数字是：单季净新增 NGS ARR 近 10 亿美元，接近去年同期的两倍。

CEO 尼克什·阿罗拉（Nikesh Arora）说了一句话作对比：「我二〇一八年加入时，公司设了个目标——到二〇二二财年做到 10 亿的下一代安全收入。现在我们一个季度就加了差不多这个数。」

二、2005 年，这个判断在当时是异端

二〇〇五年，尼尔·祖克（Nir Zuk）在加州创立了这家公司。

祖克是个「安全老兵」——他在 Check Point 和 NetScreen 都做过。他有一个判断：防火墙不应该「按端口和 IP 放行」，应该「按应用识别」。

这个判断在当时是异端。因为传统防火墙只看「第 3-4 层」（IP、端口），而祖克认为「攻击者早就不走固定端口了」——他们伪装成正常的 Web 流量。

所以他做了「下一代防火墙」（NGFW）：能识别应用、能识别用户、能解密流量、能联动作战。

这个东西后来成了行业标准。而「下一代防火墙」这个名字，也是它带起来的。

之后是持续扩张：

二〇一八年请来尼克什·阿罗拉（前 Google 高管、软银总裁）当 CEO——这是一个「空降」的外部人，当时很有争议。

二〇一九年买下 Twistlock（容器安全）、PureSec（无服务器安全），进入云安全。

二〇二一年买下 Bridgecrew（基础设施即代码安全）。

二〇二三年推出 XSIAM（AI 驱动的安全运营平台）——这是它从「卖产品」转向「卖平台」的关键一步。

二〇二六年买下 CyberArk（身份安全，改名为 Idira）、Chronosphere（云可观测性）、Console（AI 原生 agentic 工作流）。

而阿罗拉提出「平台化」（platformization）战略——核心是：不让客户买「一堆单品」，让客户买「一个平台」。

这个战略的代价是「短期收入」（因为要打折、要给客户补贴换掉竞品），收益是「长期 ARR」（因为平台化客户的续费率更高）。

三、它卖的到底是什么

一句话：「一个不用自己拼的安全体系」。

这个说法要解释。

一家大企业的安全部门，过去二十年是这么建的：防火墙买一家的、终端防护买一家的、邮件安全买一家的、身份管理买一家的、日志分析买一家的。

结果是：十几个控制台、几十个告警源、上百个策略。安全团队每天在「关告警」，而不是「防攻击」。

而攻击者只需要「找到一个没关的门」。

帕洛阿尔托卖的是「把这十几个东西合成一个平台」：一个控制台、一套策略、一份日志。

这个价值主张，在 AI 时代被放大了。因为 AI 让攻击变快了——机器速度的攻击，需要机器速度的响应。而「人在十几个控制台之间切换」，做不到机器速度。

阿罗拉在电话会上提了三个「AI 拐点」：

一是 agentic AI（自主智能体）。AI 从「人提问、它回答」变成「自主、持续地行动」。这带来新流量、新攻击面。

二是「Mythos 时刻」。他指的是「有 AI 系统在规模上展现出了前所未有的漏洞识别与利用能力」。这改变了安全的性质：从「防已知威胁」变成「防机器速度的未知威胁」。

三是 AI 模型的碎片化。企业开始要求「主权控制」（数据不出境、模型自主），这让「安全边界」重新变得复杂。

三个拐点合起来，是它的「需求论证」：AI 越强，安全越重要；安全越重要，平台越值钱。

四、钱是怎么赚的

它的收入有三个层次：

硬件（防火墙设备）——一次性卖，毛利中等。这块在萎缩（因为客户转向云交付）。

订阅（软件）——按年收费，毛利高。这是 NGS ARR 的主体。

支持服务——维保、技术支持。跟着装机量走。

而它现在的战略，是把重心从「硬件」移到「订阅」。指标就是 NGS ARR（下一代安全年度经常性收入）——只算「云交付的、订阅制的」那部分。

这一季 NGS ARR 91 亿（+63%），单季净新增近 10 亿。

而「平台化」的效果，体现在一个数字上：平台化客户的净收入留存率（NRR）超过 120%。

意思是：被「平台化」的客户，第二年比第一年多花 20% 以上。而非平台化客户，通常只有 105-110%。

所以「平台化」不是「营销概念」，是「能算出来的财务差异」。

但代价也真实：要说服客户「扔掉已有的单品」，它必须打折、给补贴、甚至免费替换。这就是为什么它的 GAAP 利润在下降。

五、最该看清的一件事：34% 的增长里，有多少是买来的

这是本篇的核心。

Q4 营收 +34%，看着很强。但拆开看：

CyberArk（现名 Idira）——二〇二六年并表，备考营收 12.6 亿。

Chronosphere（云可观测性）——并表，可观测性 ARR 翻倍超过 5 亿。

Console——刚收购，AI 原生 agentic 工作流平台。

三家并购加起来，贡献了相当一部分的「34%」。

而它自己的 FY2027 指引说明了真相：

营收 141-142 亿，增长 23%-24%。

NGS ARR 110.75-111.75 亿，增长 22%-23%。

注意这个落差：NGS ARR 从 +63% 掉到 +22-23%。

这个「掉」，一部分是「高基数」（去年涨太猛），一部分是「并购贡献消失」（并购是一次性的）。

所以真实的画像是：它的内生增长大约在 20% 出头，而 34% 是「内生 + 并购」的合计。

这不是坏事——20% 的增长对一家 115 亿营收的公司来说很强。但它意味着：你不能用「34%」来外推未来。

而市场最容易犯的错，就是用「当期增速」给「未来定价」。

六、GAAP 亏 2.82 亿，非 GAAP 赚 8.53 亿，差在哪

这个差距（11.35 亿）值得单独讲。

GAAP 净亏 2.82 亿，非 GAAP 净利 8.53 亿。差异主要来自两处：

一是收购相关费用。买 CyberArk、Chronosphere、Console，要付投行费、要整合、要摊销无形资产。这些是真实成本。

二是可转换优先票据的公允价值变动。它发了可转债（用股票还债的那种），而可转债的公允价值随股价波动。股价涨，账面记亏损（因为「欠的东西更值钱了」）。

这跟前面写过的英特尔是同一个会计逻辑——股价上涨，反而记亏损。

所以看这家公司，不能用 GAAP 净利。要看三个：非 GAAP 营业利润率（29.6%）、调整后自由现金流（44.1 亿、38.4%）、NGS ARR（91 亿）。

但也要注意：GAAP 亏钱是真的。因为它每年花几十亿买公司，这些钱最终要以「摊销」的形式回到损益表。所以「非 GAAP 赚钱」不等于「这笔买卖划算」——要看买来的东西有没有长出新的 ARR。

七、护城河有多深

四层，是这一批里最硬的之一。

第一层：平台切换成本。一家企业把防火墙、终端、云安全、身份、可观测性都放在一个平台上，换供应商意味着「整个安全架构重建」。这不是「换产品」，是「换体系」。

第二层：数据网络效应。它的平台每天处理海量威胁情报（这一季单日阻断超 300 亿次攻击）。这些数据训练出的检测模型，比任何新进入者的都准。客户越多，检测越准；检测越准，客户越多。

第三层：合规绑定。大型企业的安全架构要过审计（SOC 2、ISO 27001、PCI DSS）。换平台要重新审计。

第四层：人才稀缺。会用帕洛阿尔托平台的安全工程师，比会用小品牌的多。换平台意味着「重新招人、重新培训」。

但要看清：这四层护城河，是靠「不断并购」补起来的。

它自己做的只有「防火墙 + Cortex（安全运营）」。身份（CyberArk）、可观测性（Chronosphere）、云安全（Twistlock/Bridgecew）全是买的。

所以它的护城河有一个隐含前提：它必须持续买对东西。买错一次（比如买了个要衰退的品类），护城河就有一个洞。

八、真正的风险：并购整合的风险

第一，并购整合的风险。一年买三家（CyberArk、Chronosphere、Console），每一家都要整合。整合不好，客户会流失。

第二，增长「看起来失速」的风险。NGS ARR 从 +63% 掉到指引 +22-23%。这个落差会让市场重新定价。

第三，平台化的「补贴成本」。为了说服客户换掉竞品，它要给折扣。这些折扣会压毛利。而「补贴」什么时候能停，取决于「平台化完成度」。

第四，AI 安全赛道的新进入者。一批 AI 原生安全公司（如做「AI 驱动的漏洞检测」的初创）在崛起。它们的优势是「没有历史包袱」。

第五，云托管成本上升。管理层明确提示「云托管与存储成本上升会带来利润率压力」。

九、该盯的三个数

一，NGS ARR 的净新增。这一季近 10 亿（单季）。这是它「平台化」的唯一硬指标。如果它掉到 5 亿以下，说明「平台化」的红利用完了。

二，平台化客户数与 NRR。Q4 约 22 个净新增平台化（记录），NRR 超 120%。这两个数一起看：数量涨、NRR 也涨，说明战略成立；数量涨、NRR 跌，说明在「打折换客户」。

三，调整后自由现金流利润率。FY26 是 38.4%，目标是 FY28 到 40%。这个数每季都要看——因为它是「非 GAAP 利润」是否真实的验证。

十、一句话

帕洛阿尔托卖的是「一个不用自己拼的安全体系」——把十几个单品合成一个平台，让安全团队从「关告警」回到「防攻击」。

它的护城河很硬（平台切换成本、数据网络效应、合规绑定），而「平台化」的效果也能算出来：平台化客户 NRR 超 120%，比非平台化高十来个点。

但要看清一件事：这一季 +34% 里，含着 CyberArk、Chronosphere 的并购贡献。而它自己的 FY27 指引是 +23-24%，NGS ARR 从 +63% 掉到 +22-23%。

20% 出头的内生增长，对一家 115 亿营收的公司来说很强。但你不能用「34%」去外推。而市场最容易犯的错，就是用当期增速给未来定价。

这一类：换掉旧方案的假设，而不是改进它

归类：换掉旧方案的假设，而不是改进它。

同一类的还有：奈飞（用月费订阅干掉影碟店的逾期费模式）。共同点是：它们没有把旧产品做得更好，而是把旧产品的赚钱方式整个换掉。

这类公司最难的不是技术，是让客户相信「旧的那套真的不行了」。Palo Alto 花了很多年，才让「端口防火墙」这个词变成贬义。