日本上市公司GMO Internet Group旗下、擁有日本大型白帽駭客團隊的GMO Cybersecurity by Ierae，於10月初發布新聞稿，宣布投資2020年成立的臺灣資安新創TRAPA Security（菱鏡公司，以下簡稱TRAPA），同時取得其攻防演練平臺「TRAPA CYBER RANGE」在日本的獨家代理權。

臺灣AI資安公司奧義賽博（CyCraft）先前也宣布參與TRAPA增資，認購金額超過3,000萬元，完成後將持有TRAPA完全稀釋後10%的股權。

從表面上看，這是一筆投資案，伴隨日本市場代理權與臺灣資安業者的策略合作。但真正值得看的，是TRAPA成立五年多來走過的路：一群從CTF競賽出發的技術人才，最初在住宅套房裡創業，靠營收一步步把公司撐起來，過程中卻發現，技術能力越強，未必就越接近客戶真正需要的產品。

團隊後來重新調整人才組成，重新思考產品應該服務誰，再從攻擊端經驗轉向防禦訓練，最後把目光放到海外。

TRAPA共同創辦人兼執行長趙正宇表示，這次募資對該公司而言，與其說是單純取得資金，不如說是帶領公司走到另一個階段。當公司有了新的資金與日本市場夥伴，接下來要處理的，是產品如何規模化，以及一間臺灣資安新創如何在海外建立長期的商業模式。

歷經五年的慢節奏成長，發展速度被自身的成功卡住

談起這次募資的起點，趙正宇沒有將原因包裝成一個漂亮的成長故事。過去五年多來，公司幾乎完全靠營收滾動式成長，前一年的營收與獲利狀況，直接影響下一年的投入空間。這種方式讓公司可以不斷往前走，卻很難一次跨出更大的步伐。

他表示，TRAPA的收入大多集中在下半年入帳，一旦某一年為了擴張而增加投入，隔年的資金就容易吃緊，形成「一年擴張、下一年收縮」的循環。

這幾年臺灣國內需求增加，海外市場開始出現機會，問題反而變得更明顯。「公司知道市場在哪裡，手上的資源卻不足以同時支撐產品開發與海外拓展。」他說，這也是TRAPA決定募資的主要原因。

對趙正宇而言，走向海外並不是突然冒出的念頭。臺灣新創如果直接跨入歐美市場，除了競爭強度陡增，他們對於當地產業生態、客戶決策模式與市場關係，也都不熟悉。

到日本與東南亞發展，則是另一條路。除了地理距離較近，TRAPA團隊過去多年參與國際駭客競賽，也在亞洲賽場累積了不少人脈。這些關係未必能立刻轉化為訂單，卻讓團隊在尋找海外切入點時，不必完全從零開始。加上日本市場已有Cyberbit、OffensiveSecurity和HackTheBox等業者，顯示攻防演練與相關訓練產品已有市場需求。

從這個角度看，這次募資並不是因為公司經營不下去，而是原本靠營收慢慢往前走的方式，開始碰到成長的上限。當國內市場、海外市場與產品開發同時出現機會，TRAPA需要的已經不只是維持公司運轉的資金，而是讓團隊往下一個階段跨出去的空間。

為了圓夢投入資安創業，但一群不想管錢的人面臨該怎麼管公司的挑戰

TRAPA的創業故事，簡單來說，是趙正宇與三位一起打CTF的夥伴，為了圓他的創業夢，共同投入資安創業。當時趙正宇憑著一股不服輸的念頭，希望把更好的Cyber Range（數位靶場）服務提供給臺灣政府和企業使用，三位夥伴聽到這個想法後，也義無反顧地投入資安創業。

這三位夥伴就是TRAPA Security共同創辦人兼研發長鄭達群、共同創辦人兼資深研究員彭詩峰與蘇宏麒。包括趙正宇在內，原始四人創業團隊成員過去分別任職於台積電、網路儲存公司群暉，以及資安情資公司TeamT5等知名企業。

不過，趙正宇直言，包括他在內原本都是偏技術背景的人，優勢在於，可以把一個問題拆開、找到漏洞，完成攻擊或防禦；但當公司真正開始運作後，還有薪資、現金流、客戶、採購、標案與組織管理等事情要處理。

他表示，團隊原先擅長的技術能力，不會自動轉換成企業經營能力，這是TRAPA創業初期很快碰到的現實。

趙正宇後來又找來曾一起出國打CTF、當時已經在聯發科工作的張元，徵詢共同創業的意願。他說，找張元加入的理由很直接：在CTF圈子裡，很多人喜歡把時間放在技術上，對行政、財務、管理等工作缺乏興趣。

「張元是少數願意思考經營，也願意投入這些額外事務的人。」趙正宇甚至形容，自己是把張元「騙」進公司的，邀請他成為共同創辦人，並兼任技術長，打造TRAPA的核心創業團隊。

原本張元在聯發科任職時，收入優渥，工作環境與未來發展路徑都相對清楚。但他最後卻選擇加入，當時還看不到明確未來的資安新創TRAPA。張元形容，這等於把原本資源豐沛、看得見的未來，換成一條看不見未來、卻可能帶來更多可能性與成就感的高風險道路。對他來說，這也是人生進入另一個階段後的選擇。

回憶公司草創時的情景，趙正宇自己都說，如今想起來都有些荒謬。TRAPA招募第一位員工時，面試地點是在當時租賃的一間兩房一廳住宅，客廳擺著一排排電腦桌，房間後面堆滿手機盒。

當時大家忙著參加Pwn2Own Mobile比賽，也承接一些手機和OT相關的資安測試專案。新同事前來應徵時，整個面試現場看起來更像一間「電話詐騙機房」。

新員工第一天上班時，連固定座位都還沒有，只能先推一張椅子讓她坐下。團隊再帶她去買筆電，因為當時筆電缺貨，還得跑到臺北一〇一附近，才能買到新的蘋果筆電。

這些細節看起來，很難與後來拿到日本投資的TRAPA連在一起，卻恰好說明這家公司最初的創業狀態：技術人才已經到位，但資源與組織幾乎從零開始。

TRAPA跟不少技術型新創公司一樣，不是先有完整的公司架構，再找到技術人才，反而是先有一群技術能力很強的人，再慢慢學著把一間公司做起來。

Image with no description

TRAPA Security共同創辦人兼執行長趙正宇認為，這次募資不只是取得資金，更是讓公司跨入產品規模化與海外拓展的新階段。
洪政偉 / 攝影

高樓頂端聽不見樓下的聲音，CTF團隊的盲點與修正

TRAPA目前16名員工中，有8位具有CTF比賽經驗，比例高達一半。趙正宇表示，團隊中有過半成員具備CTF參賽經驗，這樣的比例讓日本投資方印象深刻。以日本資安同業來看，即使是擁有200名白帽駭客的團隊，具備相關CTF參賽背景的人可能也只有8到10人。

對趙正宇而言，CTF選手真正珍貴的地方，不只是會解題，而是「面對陌生問題時，能快速把分析轉成實戰的能力。」他解釋，賽場上的題目每年都在變化，選手無法只依靠既有答案，必須持續適應新的問題。

具備這種技術導向的獨特能力，成為TRAPA創業初期的重要底氣，卻也帶來另一個盲點。趙正宇表示，公司申請某些政府標案時，曾有評審對創業團隊提出疑問：為什麼願意放棄護國神山等高科技大廠的高薪工作，反而投入高風險、又不知道何時能獲利的創業？這個問題，反映出技術人才投入新創後，除了技術本身，還必須面對收入、資源與未來發展的不確定性。

對TRAPA而言，創業初期的現實更直接。公司前幾年無法支付創辦團隊原先的薪資水準，只能提供一般的正常薪資。趙正宇說：「公司帳面上的損益兩平，某部分是靠創業團隊壓低自身薪資成本維持。」

更值得TRAPA重新檢視的，是技術能力與市場需求之間的距離。趙正宇用一個形象的比喻描述這段經驗：團隊長時間站在技術金字塔頂端，就像站在高樓頂端往下看，根本聽不到樓下人在喊什麼。

TRAPA最初設計產品時，就是從自身頂尖選手的視角出發。對團隊而言，許多資安概念並不困難，產品自然容易朝更高階、更複雜的方向發展。但客戶實際使用後給出的意見回饋全然不同，他們表示，需要的反而是更入門、更基礎的內容，甚至低於團隊原本想像的程度。

這個落差迫使TRAPA重新思考「產品到底要服務誰」。創業團隊開始從原本偏向服務大型企業的想法，轉而關注資安資源有限、團隊規模較小的組織。

後來他們進一步發現，企業規模並不是唯一的判斷標準，真正影響使用需求的，是企業內部究竟有多少資安人力與能力。有些國際大廠的資安團隊，人力配置甚至比外界想像中精簡。

對此，TRAPA開始調整公司的人才結構，有意識地降低「純CTF」背景員工的比例，加入不同背景的人才，讓團隊出現原本缺少的使用者視角。

這個轉變看似與技術無關，卻直接影響產品。技術人員熟悉的是「這件事怎麼做」，市場與使用者面對的問題則是「客戶為什麼需要它」、「客戶做到哪裡會卡住」。

趙正宇表示，TRAPA必須同時看見兩邊，才能把原本擅長的技術，轉變成真正有人使用的產品。

做出產品差異化，從紅隊經驗長出來的藍隊產品

市場上專注Cyber Range的資安業者不少，但多是國際大廠。當外界詢問TRAPA的產品與這些外商產品有何差異時，趙正宇仍回到團隊最熟悉的CTF經驗。

他指出，團隊成員長期參與競賽，累積的不只是解題能力，還包括辦比賽、設計題目與安排攻防情境的經驗。這些經驗最後被轉進TRAPA的產品設計中。換句話說，團隊原本累積的是攻擊端經驗，最終卻將這些經驗轉化成防禦端的訓練場景。

此次日本投資方過去已接觸不少類似的訓練平臺，對TRAPA的評價是「訓練情境『接地氣』，讓使用者更容易理解防禦工作應該怎麼做。」張元則用「內容有溫度」來形容TRAPA的產品設計。

這個「溫度」不是行銷詞，而是落在題目設計上。張元認為，不少攻防演練容易讓使用者失去焦點，問題往往不是技術難度不夠，而是情境沒有被好好設計。他表示，TRAPA希望把演練情境拉近真實事件，讓使用者面對一個有脈絡的事件，再從不同路徑尋找解法。

對學習者而言，重點不只是完成一道題，而是進入一個角色，判斷下一步應該做什麼。這種訓練最後希望培養的，不只是一項技術，而是事件發生時的判斷與反應。

趙正宇認為，資安市場目前更大的缺口不是攻擊能力，而是防禦能力。市場上的資安人才，有些從IT背景轉進來，有些原本從事合規顧問工作，真正累積過實戰經驗、能在事件發生時做出適當處理的人相對少。

過去的防禦訓練，很多時候停留在紙上演練或經驗分享，系統化的藍隊訓練與認證則是近幾年才逐漸成形。「對TRAPA來說，這正是產品可以切入的空間。」張元說。

從紅隊經驗走向藍隊訓練，並不是把原本的技術丟掉，而是將對同一套攻防情境的理解，換一個方向使用。知道攻擊者會怎麼想，才能設計出更接近真實攻擊的防禦情境；長期參與競賽所累積的快速應變能力，也有機會轉化成防守者需要的判斷訓練。

AI時代來臨，正在改變資安人才存在的意義

當AI越來越強，攻擊者與防守者都開始使用AI，企業還需要投入大量資安人才嗎？這也是許多企業正在思考的問題。對此，趙正宇並不認為AI會取代人，而是認為：AI出現後，人才的角色正在改變。

他指出，即使AI能力持續提升，攻防之間仍會留下難以完全補上的縫隙。攻擊者不需要突破整套防禦，只要找到其中一個沒有被補上的地方，就可能形成攻擊入口。他以「百分之零點五」比喻這種極小的破口。

問題最後仍會回到風險。企業願不願意把最後一小段風險補起來，涉及企業願意承擔多少風險，也涉及發生問題後由誰負責。趙正宇表示，AI可以協助分析、判斷與執行，但最後的責任，仍需要由「人」承擔。

另一個讓趙正宇在意的問題，是資安人才的養成。過去一名資安人才養成，往往需要三年、五年甚至十年的基層歷練，從處理大量初階工作開始，慢慢累積事件經驗，再逐步形成自己的判斷力。當AI接手越來越多初階工作後，這條從基礎工作一路往上累積的路徑可能縮短，甚至出現斷層。

所以，問題不只是人才短缺，而是人才養成的路徑正在改變。這也讓TRAPA看到自己的另一個角色。趙正宇認為，透過模擬真實攻防情境，可以把原本需要多年工作經驗才能慢慢累積的事件判斷與反應，濃縮到高強度演練中。這不可能完全取代真實事件帶來的經驗，卻能讓學習者在進入實際工作前，先面對更多接近現場的情境。

募資完成後，TRAPA面對的另一個課題，是如何把這套訓練能力延伸到更多市場。GMO對TRAPA帶來的並不只是資金，還包括日本市場的通路與合作關係。對TRAPA而言，找到熟悉當地市場的夥伴，可以降低自己摸索市場的成本。

臺灣AI資安公司奧義賽博，則扮演另一種角色。趙正宇表示，對TRAPA來說，這不只是財務投資，更是藍隊產品上的合作關係。TRAPA可以把奧義的產品整合進自己的演練場域，讓使用者在實際情境裡，看到不同資安產品如何運作。

他指出，這讓攻防演練平臺有機會從單一產品變成整合場域，不管是端點防護、身分管理或其他防禦解決方案，都可能成為演練過程中的合作對象。

這種模式對TRAPA的海外拓展很重要。公司不必單靠自己的產品功能去打開每一個市場，而是可以把平臺變成不同資安產品，進入實際情境的入口。「產品之間不一定互相競爭，也可以透過場域形成合作。」趙正宇說。

不過，投入日本市場本身需要另一種耐心。他表示，TRAPA團隊對日本企業導入新產品的節奏已有心理準備，從產品介紹、內部評估、預算編列到採購，整個決策週期可能拉長到三至五年。對習慣快速驗證市場的資安新創而言，這是完全不同的節奏。

趙正宇觀察，日本IT與資安產業對新產品的導入相對保守，這讓團隊更確定，與其單槍匹馬摸索，不如透過已經深耕日本市場多年的GMO進入市場。

這也是本次投資對TRAPA的另一層意義。它不只是帳上的資金增加，更讓TRAPA多了一個熟悉日本市場的合作夥伴，能夠陪著產品走過較長的導入週期。

從技術原型的雕琢到訂閱制產品的轉型

當募資完成後，TRAPA下一階段的工作，是把過去靠人力累積的訓練內容，轉化成可以持續擴大的產品。

趙正宇觀察，同業在內容生產上有不同路線。有些採取大量產出的方式，內容數量很多，卻不一定貼近真實情境；有些則透過社群共創，快速累積大量內容，品質可能出現差異。

TRAPA選擇的是創造少量、高品質的內容，再透過AI自動化技術放大生產流程，讓原本需要大量人力才能完成的演練場域建置，透過AI大幅提升效率。趙正宇估計，效率甚至有機會提升十倍、百倍。

不過，這裡的AI並不是拿來取代TRAPA原本最重要的內容能力。團隊仍需要事先設計出好的攻防情境，再讓AI協助處理大量重複性的工作。換句話說，AI被放在內容生產流程裡，而不是取代內容本身。

這個轉變最後指向訂閱制商業模式。趙正宇認為，如果攻防演練平臺每次更新，都必須依靠大量人工製作，產品規模一旦變大，內容更新就會成為成本；客戶買到的如果只是一次性的演練場域，產品價值也很難隨著威脅環境變化持續增加。

TRAPA希望改變這件事。客戶訂閱的不是一個固定不變的平臺，而是一個會持續更新的攻防訓練環境。因為新的攻擊手法出現後，若能夠快速轉成新的演練情境，即可讓訓練內容跟著真實世界的威脅變化更新。

這也是TRAPA從技術原型走向產品公司的另一個轉折。過去團隊最強的能力，是把一個困難的技術問題解出來；接下來要面對的問題則是，如何讓這套能力不需要每增加一名客戶，就增加同等比例的人力。

對技術型新創而言，這是完全不同的考驗。技術可以成為產品的起點，商業模式卻決定產品能不能持續擴大。趙正宇表示，這次投入AI與優化內容生產流程，本質上是在處理自己的成長瓶頸。

回看過去五年發展，突圍的關鍵不只在技術

回頭看TRAPA成立以來的軌跡，這家公司並不是一開始就知道自己最後會走到哪裡。

最初，團隊靠的是CTF競賽累積的技術能力；創業後，才發現技術能力與企業經營之間隔著一大段距離，於是找來張元，補上管理與經營的角色。產品推出後，又發現自己站得太高，沒有看見一般使用者真正需要的內容，於是重新調整產品定位與人才結構。

再往後，團隊從紅隊經驗轉向藍隊訓練，找到更清楚的產品位置。當臺灣市場的規模與人才成本限制浮現，海外市場就不再只是選項，而成為公司下一階段成長需要面對的課題。

這條路並不是每一步都按照原先規畫前進。反而是每一次遇到問題後，團隊願意回頭檢查原本的假設，再決定下一步怎麼走。

這種調整也反映在募資結構上。GMO與奧義賽博扮演的角色不同，一個連結日本市場，一個提供臺灣資安產業與藍隊產品上的合作機會。趙正宇認為，對TRAPA而言，這樣的組合比單純追求一筆更大的財務投資，更貼近公司接下來要面對的問題。

從住宅套房裡開始創業，到現在吸引日本資安業者投資，TRAPA走過的五年多並不是一條直線。無論是技術、人才、產品或市場，每一項都曾經需要重新調整。

下一個階段，TRAPA要面對的問題已經不同。張元指出，公司不再只是證明自己能不能做出一套技術，而是要證明：這套技術，能不能在不同市場持續被使用；能不能透過訂閱模式形成穩定收入；以及能不能利用AI，把內容與服務的規模真正做大。

對這群從CTF賽場走出來的創業者來說，過去五年學會的是如何把技術變成公司；接下來的五年，則是把累積的技術、產品與市場經驗，轉化成一套能夠在海外長期運作的商業模式。