Từ NET đến CRWD, giai đoạn nửa sau của AI, tiền bắt đầu chảy vào các công ty an ninh mạng?

Tuần trước, thị trường chứng khoán Mỹ chứng kiến một sự phân hóa rất thú vị.

Cổ phiếu Nvidia tăng mạnh sau báo cáo tài chính, tiếp tục chứng minh nhu cầu về hạ tầng AI vẫn còn rất xa mới kết thúc; nhưng cùng lúc đó, CrowdStrike (CRWD) tăng 20,5% trong một ngày, Okta (OKTA) tăng gần 29%, và nhóm cổ phiếu an ninh mạng cũng đón nhận một đợt định giá được phục hồi rõ rệt.

Tuy nhiên, ở chiều ngược lại, Zscaler (ZS) đã từng lao dốc hơn 30% sau báo cáo tài chính quý trước, và SentinelOne (S) cũng có diễn biến sau giờ giao dịch không mấy khả quan sau báo cáo mới nhất.

Đều là các công ty an ninh mạng, đều nói về AI, nhưng điều này phản ánh một sự thay đổi rất rõ ràng:

Khi dòng vốn bắt đầu tìm kiếm các nguồn doanh thu AI mới bên dưới tầng hạ tầng tính toán, thị trường không còn sẵn sàng trả giá đồng đều cho mọi câu chuyện "AI + an ninh mạng" nữa, mà bắt đầu sàng lọc — ai thực sự nắm bắt được nhu cầu mới do AI tạo ra?

I. Hạ tầng tính toán đang đốt tiền, phần mềm đến lúc phải kiếm tiền

Trong sáu tháng qua, một trong những tranh cãi lớn nhất của toàn ngành phần mềm là liệu AI Agent cuối cùng có làm lung lay mô hình kinh doanh SaaS hay không.

Bởi vì SaaS truyền thống, ở một mức độ lớn, được xây dựng dựa trên số lượng người dùng.

Ví dụ, một doanh nghiệp có 100 nhân viên có thể đồng nghĩa với 100 tài khoản Salesforce, ServiceNow hoặc các phần mềm doanh nghiệp khác.

Nhưng nếu trong tương lai, ngày càng nhiều công việc được hoàn thành bởi Agent, số lượng nhân viên giảm xuống, hoặc một nhân viên có thể quản lý hàng chục Agent, thì một phần phần mềm tính phí theo số lượng người dùng (Human Seat) thực sự có thể gặp phải một vấn đề chưa từng đối mặt trước đây:

Mức độ sử dụng phần mềm đang tăng lên, nhưng số lượng người trả phí không nhất thiết tăng theo.

Đây cũng là một trong những logic cốt lõi khiến thị trường từng giao dịch theo cái gọi là "thuyết ngày tận thế của SaaS" trong năm nay.

Nhưng điểm đặc biệt của an ninh mạng nằm ở chỗ, trong khi AI làm giảm một số vị trí con người (Human Seat), nó cũng tạo ra nhiều đối tượng phi con người hơn cần được quản lý và bảo vệ.

Lấy một ví dụ, trước đây ranh giới bảo mật của một doanh nghiệp chủ yếu xoay quanh nhân viên, máy tính và ứng dụng, nhưng ngày nay danh sách này đã bắt đầu dài ra nhanh chóng: ngoài nhân viên còn có danh tính máy móc (machine identity), ngoài ứng dụng còn có API, và sau đó là ngày càng nhiều AI Agent.

Điều đó có nghĩa là, một Agent có thể không cần tài khoản nhân viên theo nghĩa truyền thống, nhưng vẫn phải đăng nhập vào hệ thống doanh nghiệp; nó không ngồi trước máy tính, nhưng lại cần truy cập cơ sở dữ liệu, gọi API, kết nối dịch vụ đám mây.

Vì vậy, điều thực sự quan trọng mà AI mang lại cho an ninh mạng là các đối tượng kỹ thuật số mà doanh nghiệp cần bảo vệ đang tự thân gia tăng về số lượng.

Điều này trái ngược hoàn toàn với logic mà nhiều công ty SaaS truyền thống đang đối mặt.

AI có thể khiến doanh nghiệp cần ít con người hơn, nhưng rất khó để khiến số lượng danh tính, thiết bị, giao diện, dữ liệu và máy móc cần được bảo vệ giảm đi, thậm chí rất có thể điều ngược lại mới xảy ra.

Cũng chính vì vậy, khi thị trường bắt đầu tìm kiếm khoản ngân sách doanh nghiệp tiếp theo bên ngoài hạ tầng AI, an ninh mạng tự nhiên trở thành một hướng đi đáng để quan sát.

II. Cũng nói về an ninh AI, nhưng có mã tăng vọt, có mã lao dốc?

Chỉ có điều, ngay cả khi đều nói về an ninh AI, thị trường cũng bắt đầu phân hóa rõ rệt.

Trước tiên hãy nhìn vào Cloudflare (NET), với tư cách là công ty đại diện, doanh thu quý 2 năm tài chính 2026 mới nhất đạt 696,1 triệu USD, tăng 36% so với cùng kỳ năm ngoái, cao hơn mức 34% của quý 1; cRPO tăng 35% so với cùng kỳ, cũng được cải thiện hơn so với mức 34% của quý trước.

Sự thay đổi của CrowdStrike còn rõ ràng hơn, Net New ARR (giá trị hợp đồng mới ròng hàng năm) quý 1 năm tài chính 27 đạt 256 triệu USD, tăng 32% so với cùng kỳ; đến quý 2, Net New ARR đã đạt khoảng 333 triệu USD, tốc độ tăng trưởng so với cùng kỳ trực tiếp tăng tốc lên 51%.

Tốc độ tăng trưởng doanh thu của Okta vẫn chỉ ở mức 11%, nhưng cRPO đã được cải thiện từ mức tăng 12% so với cùng kỳ trong quý 1 lên 14% trong quý 2, trong khi tốc độ tăng trưởng RPO so với cùng kỳ đạt 17%.

Rốt cuộc, đối với các công ty phần mềm theo mô hình đăng ký và nền tảng, doanh thu ở mức độ lớn là sự hiện thực hóa của các hợp đồng trong quá khứ, trong khi thị trường hiện tại bắt đầu tập trung vào nhiều chỉ số hơn có thể cho nhà đầu tư biết "điều gì sẽ xảy ra trong vài quý tới".

CRWD là ví dụ điển hình nhất. Trong quý mới nhất, doanh thu công ty đạt 1,47 tỷ USD, tăng 26% so với cùng kỳ; ARR cuối kỳ đạt 5,84 tỷ USD, tăng 25% so với cùng kỳ, trông có vẻ "bình thường", nhưng Net New ARR đạt 333 triệu USD, tăng 51% so với cùng kỳ, điều này đã kích thích thị trường rất lớn.

Đường cong đơn hàng mới tăng tốc rõ rệt này cũng đại diện cho logic định giá quan trọng nhất của đợt sóng cổ phiếu an ninh mạng lần này: Tăng trưởng cao tự thân không còn là điều hiếm có, tăng trưởng tăng tốc trở lại mới là điều hiếm có.

Nhìn ngược lại, điều này càng rõ ràng hơn.

Trong quý 3 năm tài chính 2026 trước đó, doanh thu của Zscaler tăng 25% so với cùng kỳ, ARR cũng tăng 25%, nhìn vào con số đơn thuần thì tuyệt đối không phải là một báo cáo tài chính tồi, nhưng giá cổ phiếu vẫn lao dốc hơn 30%, đơn giản vì giới đầu tư bắt đầu nghi ngờ liệu tốc độ tăng trưởng năm tài chính 27 của họ có thể tiếp tục đi lên hay không.

SentinelOne cũng ở trong tình huống tương tự trong quý mới nhất.

Doanh thu quý 2 năm tài chính 27 đạt 292 triệu USD, tăng 21% so với cùng kỳ; ARR đạt 1,218 tỷ USD, tăng 22% so với cùng kỳ, công ty cũng đã nâng dự báo doanh thu cả năm, nhưng trong giao dịch sau giờ làm việc sau báo cáo tài chính, giá cổ phiếu vẫn có lúc giảm hơn 5%, vì hướng dẫn lợi nhuận và kỳ vọng tương lai không vượt qua ngưỡng mà thị trường đã nâng lên.

III. Agent càng nhiều, hoạt động kinh doanh của các công ty an ninh mạng lại càng lớn?

Điều thú vị hơn nữa là, nếu tiếp tục đi sâu theo logic này, chúng ta sẽ phát hiện ra rằng ngay cả khi tất cả đều thuộc ngành an ninh mạng, thì "lộc" AI mà CRWD, NET và OKTA nhận được thực ra không giống nhau.

1. CRWD: An ninh doanh nghiệp ngày càng giống một hệ thống tổng thể

Thế mạnh truyền thống nhất của CrowdStrike đến từ mảng Endpoint, tức an ninh thiết bị đầu cuối.

Nhưng ngày nay, nó không còn chỉ là một bộ phần mềm diệt virus cài trên máy tính, hoạt động kinh doanh đã bao phủ nhiều mắt xích như Endpoint, Cloud Security, Identity, Security Operations, Observability, Data Protection, Threat Intelligence, v.v.

Điều này đặc biệt quan trọng trong kỷ nguyên Agent.

Bởi vì khi một Agent hoàn thành một nhiệm vụ, nó thường không chỉ tồn tại trong một hệ thống duy nhất. Nó có thể trước tiên có được một danh tính, sau khi vượt qua xác thực quyền hạn sẽ truy cập API, rồi đi vào Cloud Workload, đọc cơ sở dữ liệu, và cuối cùng ghi kết quả trở lại một hệ thống doanh nghiệp khác.

Do đó, ranh giới giữa Endpoint, Identity, Cloud và Runtime ngày càng mờ nhạt. Ai có Telemetry (dữ liệu quan trắc) đầy đủ hơn, người đó có cơ hội trở thành nền tảng kiểm soát thống nhất cho hoạt động vận hành an ninh của doanh nghiệp.

Sự tăng tốc của Net New ARR lần này cũng bước đầu chứng minh rằng doanh nghiệp sẵn sàng trả tiền cho một nền tảng an ninh lớn hơn.

2. NET: Agent càng hoạt động, lưu lượng truy cập Internet càng nhiều

Cloudflare là công ty đặc biệt nhất trong nhóm này.

Bởi vì nó thực sự rất khó để định nghĩa đơn giản là một công ty an ninh mạng truyền thống. Ngoài Security và Zero Trust, nó còn có mạng lưới toàn cầu, nền tảng phát triển Workers và năng lực điện toán biên.

Chính vì vậy, tác động của AI đối với Cloudflare không chỉ nằm ở "ngân sách an ninh", mà còn có thể trực tiếp làm tăng lượng sử dụng trên mạng lưới của Cloudflare.

Tính đến quý 2, số lượng nhà phát triển trên nền tảng Cloudflare đã vượt 7,4 triệu, chỉ riêng một quý đã tăng thêm gần 2 triệu, thậm chí vượt qua tổng số khoảng 1,5 triệu người mới của cả năm 2025.

Ban lãnh đạo cũng tiết lộ một hiện tượng rất thú vị: trong quý 2, lần đầu tiên hơn một nửa lưu lượng truy cập mạng của Cloudflare không được tạo ra trực tiếp bởi con người.

Các yêu cầu đến từ AI Agent vẫn đang gia tăng. Vậy nên, dù Agent cuối cùng có thay thế bao nhiêu con người, nó vẫn cần kết nối mạng, gọi mô hình, truy cập API, đọc cơ sở dữ liệu, thực thi mã code, và trao đổi thông tin với các Agent khác.

Cloudflare đứng ngay tại điểm giao thoa của những biến số này.

Vì vậy, định vị chính xác hơn của NET giống như đang đặt cược rằng, trong tương lai, trên Internet sẽ xuất hiện ngày càng nhiều lưu lượng truy cập không phải do con người khởi tạo.

3. OKTA: Trong tương lai, "có danh tính" trong công ty có thể không chỉ là nhân viên

Tình hình của Okta cần phải nhìn nhận một cách thận trọng hơn.

Trong quý 2 năm tài chính 27 mới nhất, doanh thu công ty đạt 805 triệu USD, tăng 11% so với cùng kỳ; RPO đạt 4,858 tỷ USD, tăng 17% so với cùng kỳ; cRPO đạt 2,585 tỷ USD, tăng 14% so với cùng kỳ.

So với mức 12% của quý 1, cRPO thực sự đã được cải thiện.

Nhưng theo những gì ban lãnh đạo tiết lộ, sự cải thiện hiện tại vẫn chủ yếu đến từ các khách hàng lớn, các sản phẩm cốt lõi Workforce / Customer Identity, cũ