邯鄲網(wǎng)站建設(shè)500元（賈錚簡歷）賈屹簡歷，
優(yōu)秀的企業(yè)長什么樣，成功的牛人都有哪些特質(zhì)？在他們的奮斗路上，有哪些需要注意的“坑”，最重要的改變是什么？創(chuàng)·問 向一些優(yōu)秀的華創(chuàng)派、投資人、業(yè)界牛人拋出問題，也希望分享他們的想法給你本期主角是那一科技創(chuàng)始人、CEO賈梟。
?
隨著現(xiàn)代軟件系統(tǒng)規(guī)模不斷增大，代碼量激增，系統(tǒng)復(fù)雜度也越來越高據(jù)統(tǒng)計，在開發(fā)階段的檢測成本是發(fā)布階段的1/100，發(fā)現(xiàn)缺陷的數(shù)量是部署后的10倍，研發(fā)安全“左移”成為軟件安全保障的主要趨勢靜態(tài)代碼分析在提高產(chǎn)品質(zhì)量、安全性與開發(fā)效率方面的價值，逐步被越來越多的開發(fā)者所接受。
MarketWatch 數(shù)據(jù)顯示，2019 全球靜態(tài)代碼分析軟件市場規(guī)模為 6 億 美元，預(yù)計到 2026 年底將達(dá)到 17 億美元左右2021年，賈梟把家從硅谷搬到上海，開啟了他的第二次創(chuàng)業(yè)——那一科技，一家專注解決軟件質(zhì)量安全的公司。
基于靜態(tài)代碼分析以及機(jī)器學(xué)習(xí)等技術(shù)，那一科技建立了一套能夠?qū)崿F(xiàn)自動化代碼審查、安全評估以及更新維護(hù)的開發(fā)工具鏈其核心產(chǎn)品 NaiveSystems Analyze 可以快速、準(zhǔn)確地識別軟件安全性和可靠性的問題，幫助客戶在軟件研發(fā)流程中盡早發(fā)現(xiàn)質(zhì)量安全問題。
賈梟畢業(yè)于上海交通大學(xué)計算機(jī)科學(xué)班，在之后馬克斯·普朗克研究所的研究和 Google 等領(lǐng)先硅谷科技公司的工作中，他始終在摸索形式化驗證方向的前沿方向，并且通過設(shè)計和實現(xiàn)算法，自動地基于新的邏輯框架來證明程序的性質(zhì)。
深耕頂尖的深度靜態(tài)分析技術(shù)，他瞄準(zhǔn)存量大且相對成熟的市場，結(jié)合團(tuán)隊在軟件系統(tǒng)和形式化驗證方向豐富的理論和實踐積累，為客戶提供極致性價比的好用工具賈梟表示，那一能為軟件開發(fā)者提供更好的工具鏈，“國外廠商將代碼分析工具定位成窄類工具，一個 license 要幾十、甚至上百萬。
為了減少一個用戶分享 license 給多臺設(shè)備的情況，越來越多的廠商用 Floating License 的定價模式，即一個 license 可以安裝在多臺設(shè)備，但同時只能有一臺設(shè)備在線這就導(dǎo)致工具賣得越來越貴，我們希望改變這個局面。
這個工具理應(yīng)是人人都在用，因為用得越早、問題發(fā)現(xiàn)得越早、修復(fù)代價也越低”Q：華創(chuàng)資本A：那一科技 創(chuàng)始人、CEO 賈梟Q1：請簡單介紹下那一科技，主要幫用戶解決哪些痛點和問題？賈梟：基于形式化方法以及機(jī)器學(xué)習(xí)等技術(shù)，那一科技建立了一套能夠?qū)崿F(xiàn)自動化代碼審查、安全評估以及更新維護(hù)的開發(fā)工具鏈。
我們的核心產(chǎn)品 NaiveSystems Analyze 是一款靜態(tài)代碼分析產(chǎn)品，希望幫助客戶在軟件研發(fā)流程中盡早發(fā)現(xiàn)質(zhì)量安全問題通過與客戶已有的研發(fā)工具進(jìn)行集成，NaiveSystems Analyze 能夠覆蓋不同的軟件研發(fā)階段，在發(fā)布前及時找出代碼中隱藏的缺陷，避免后期高昂的修復(fù)代價。
從而為客戶解決開源軟件和自主研發(fā)軟件在實施過程中面臨的技術(shù)、法律、供應(yīng)鏈等風(fēng)險“靜態(tài)代碼分析”有獨特優(yōu)勢，是因為我們使用的方法在操作系統(tǒng)領(lǐng)域得到了驗證，而這一領(lǐng)域又是公認(rèn)的價值突出、難度大的領(lǐng)域，且方法和產(chǎn)品都不局限于操作系統(tǒng)。
Q2：2021年創(chuàng)立那一科技，彼時你看到了哪些市場和機(jī)會？賈梟：2009年，我進(jìn)入上海交通大學(xué) ACM 班（編者注：ACM班即上海交通大學(xué)計算機(jī)科學(xué)班ACM 班迄今已培養(yǎng)出640名畢業(yè)生，直博率高達(dá)92%，33人已獲海內(nèi)外一流高校教職，99%從事計算機(jī)科學(xué)研究工作。
在校本科生發(fā)表高水平學(xué)術(shù)論文330余篇，三次捧起ACM 全球總冠軍獎杯，ACM 班的成功經(jīng)驗曾連續(xù)三次獲得國家級教學(xué)成果獎），2013年畢業(yè)后讀博，后面去了馬普所（編者注：馬普所是馬克斯·普朗克研究所的簡稱，是德國聯(lián)邦和州政府支持的一個非營利性研究機(jī)構(gòu)，出現(xiàn)過數(shù)十位諾貝爾科學(xué)獎獲得者，其研究領(lǐng)域的成績享譽世界。
），研究方向是 Software Systems，聚焦在兩大基礎(chǔ)方向——程序語言和操作系統(tǒng)2014年，我收到了 Google 操作系統(tǒng)部門的工作邀請，能夠在實業(yè)中延續(xù)自己的研究方向，所以我選擇去硅谷做一名軟件工程師。
當(dāng)時的組主要從事操作系統(tǒng)相關(guān)的開發(fā)工作，部門專門管理公司全球所有地區(qū)的服務(wù)器上的操作系統(tǒng)服務(wù)器上運行的基礎(chǔ)軟件有兩部分，一是操作系統(tǒng)，二是 Borg（即 Google 的 container 系統(tǒng)，類比開源世界的 kubernetes；事實上 kubernetes 就是我們在做下一代 Borg 系統(tǒng)遇到瓶頸后做開源的結(jié)果）。
其中操作系統(tǒng)分為用戶態(tài)和內(nèi)核態(tài)我們200多人的團(tuán)隊，負(fù)責(zé)的是內(nèi)核態(tài)+Borg我們組對 Google 內(nèi)部提供的是操作系統(tǒng)，為了保證這個操作系統(tǒng)穩(wěn)定安全，進(jìn)行各種技術(shù)投入我的工作就是圍繞這些問題，其中嘗試的一個技術(shù)路線是進(jìn)行靜態(tài)代碼分析，同時還有很多其他路線/職責(zé)，包括手動/人工保證（內(nèi)部+很多來自第三方的）代碼改動的安全性。
2016年我回國，短暫參與過一家VR操作系統(tǒng)公司創(chuàng)業(yè)2018年，我重新回到 Google 工作這段經(jīng)歷還是延續(xù)之前操作系統(tǒng)相關(guān)的工作，主要處理操作系統(tǒng)驅(qū)動程序中，普遍會遇到的各種問題例如，當(dāng)硬件設(shè)備驅(qū)動遇到問題時，會導(dǎo)致整個操作系統(tǒng)崩潰，微軟的 Windows 就通過它的 Static Driver Verifier 很好地解決了這方面的問題，其中使用了大量的形式化驗證的技術(shù)，而這類技術(shù)不局限于操作系統(tǒng)，理論上可適用于所有的程序。
遺憾的是 Google 在這方面沒有單獨的研究，當(dāng)時我希望能夠做出更多實用的價值，就想出來創(chuàng)業(yè)2021年回國創(chuàng)立那一科技，還是選擇了我熟悉且擅長的靜態(tài)代碼分析工具領(lǐng)域，我們最初的思路是用更好的算法，更準(zhǔn)地找到問題。
同時，利用性能更強(qiáng)的機(jī)器和開源軟件，大幅降低成本實際上，靜態(tài)代碼分析工具不是一個新的產(chǎn)品，在20 年前就出現(xiàn)了，市場的存量很大，但要真正做起來卻并不容易，是一個周期長且風(fēng)險高的工程正常情況下，一個完整的系統(tǒng)，需要團(tuán)隊花 3 到 5 年的時間精心打磨。
不過一旦投入使用之后，滲透率會特別高，給企業(yè)帶來的經(jīng)濟(jì)效益也十分顯著Q3：那一科技業(yè)務(wù)方向主要面向開發(fā)者，你的第一次創(chuàng)業(yè)做VR操作系統(tǒng)，那時候面向的是終端用戶前一段創(chuàng)業(yè)給了你哪些經(jīng)驗和思考？賈梟： 2015年冬天，我在 HTC 實驗室看到了他們最早的 VR 原型機(jī)和一些 Demo，非常震撼，那時 VR 產(chǎn)業(yè)開始高速發(fā)展，市場上出現(xiàn)了大量的 VR 硬件和游戲開發(fā)團(tuán)隊，但卻很少有人去做 VR 產(chǎn)業(yè)的底層基礎(chǔ)設(shè)施——VR 操作系統(tǒng)。
在 2016 年的夏天，我離開 Google 回國創(chuàng)業(yè)當(dāng)時的判斷是，如果 VR 設(shè)備量爆發(fā)，首先需要操作系統(tǒng)，于是我們將創(chuàng)業(yè)方向選定為 VR 操作系統(tǒng)但彼時做 To C 的 VR 操作系統(tǒng)太早了，甚至現(xiàn)在也還早。
我們經(jīng)過嘗試，將客戶方向轉(zhuǎn)向了 To B，核心的用戶場景是設(shè)計院設(shè)計院會使用 3D 建模，在向甲方展示時，通過導(dǎo)入 VR 系統(tǒng)，能夠讓建筑模型更為立體地展現(xiàn)當(dāng)時我們落地場景沒問題，但 VR 設(shè)備未能如想象出現(xiàn)爆發(fā)式增長，作為提供 VR 操作系統(tǒng)的我們，自然難以實現(xiàn)商業(yè)上的可持續(xù)。
并且，VR 設(shè)備復(fù)雜度過高，需要很重的服務(wù)，也不太適合軟件生意這段創(chuàng)業(yè)的經(jīng)歷也讓我在第二次創(chuàng)業(yè)時，從市場需求反向思考創(chuàng)業(yè)方向：不選太創(chuàng)新、太超前、需要從零開始教育客戶的市場結(jié)合自己的能力半徑，在認(rèn)真地分析國內(nèi)的現(xiàn)狀后，我們選擇以技術(shù)為主導(dǎo)，服務(wù)于成熟市場的定位。
我相信，只要有程序和開發(fā)者的地方就有靜態(tài)測試需求，這個領(lǐng)域雖然可能不如之前面向終端用戶的產(chǎn)品那么有“創(chuàng)新“，但只要我們做的產(chǎn)品比現(xiàn)有的產(chǎn)品好用、成本低，那就有競爭力Q4：目前那一科技的產(chǎn)品線是怎樣的？賈梟：
我們目前的核心產(chǎn)品——NaiveSystems Analyze，可支持多種國際和國內(nèi)的代碼編程標(biāo)準(zhǔn)例如 MISRA C:2012是由汽車工業(yè)軟件可靠性協(xié)會 (MISRA) 提出的 C 語言開發(fā)標(biāo)準(zhǔn)，是編寫安全攸關(guān)的 C 代碼的最佳實踐，在汽車電子、軌道交通、醫(yī)療器械、航空航天等各個領(lǐng)域都被廣泛使用。
NaiveSystems Analyze 還支持 MISRA C++:2008、AUTOSAR、GJB 5369、GJB 8114 等編程規(guī)范，以及 ISO 26262、ISO 21434、IEC 62304 等多種標(biāo)準(zhǔn)，覆蓋功能安全、網(wǎng)絡(luò)安全、數(shù)據(jù)安全等多個方面。
產(chǎn)品亮點：● 對關(guān)鍵的編碼規(guī)范的規(guī)則覆蓋率高，例如 MISRA 系列總體規(guī)則覆蓋率超過 92%；● 利用形式化驗證技術(shù)，相比傳統(tǒng)靜態(tài)分析方法，誤報和漏報數(shù)量都極?減少；● 提供全中文的詳細(xì)診斷信息和在線幫助文檔，包括各標(biāo)準(zhǔn)原文及其專業(yè)翻譯；
● 支持與各類軟件研發(fā)?具深度集成，支持自定義規(guī)則等定制開發(fā)。
Q5：剛剛你提到，靜態(tài)代碼分析是一個非常成熟的市場如何看待國內(nèi)外競爭對手？相對于成熟的及其它初創(chuàng)公司、開源軟件，那一科技的比較優(yōu)勢是？賈梟：目前國內(nèi)市場中，以美國新思科技 (Synopsys, Nasdaq: SNPS) 為代表的國外公司占據(jù)絕對領(lǐng)先的市場份額，但它們在國內(nèi)主要通過代理商來銷售，客戶的核心痛點是遇到問題時，難以觸達(dá)原廠。
比如，我們之前有聽說過：有客戶反饋用國外的產(chǎn)品，在遇到 bug 反饋半年之后才收到廠商的郵件，說信息收到了售后反應(yīng)慢外，價格高企更是難以接受因為國外廠商將代碼分析工具定位成窄類工具，一個 license 要幾十、甚至上百萬。
為了減少一個用戶分享 license 給多臺設(shè)備的情況，越來越多的廠商采用 Floating License 的定價模式，即一個 license 可以安裝在多臺設(shè)備，但同時只能有一臺設(shè)備在線這就導(dǎo)致工具賣得越來越貴，我們希望改變這個局面。
這個工具理應(yīng)是人人都用，因為用得越早、問題發(fā)現(xiàn)得越早、修復(fù)代價也越低之前也有一些創(chuàng)業(yè)公司在嘗試做類似的事，但他們沒有在技術(shù)層面上解決問題，還存在這樣或那樣的問題，比如不能完整地支持行業(yè)標(biāo)準(zhǔn)等，沒有做出完整的產(chǎn)品。
與它們相比，那一科技的優(yōu)勢在于我們團(tuán)隊在程序分析和信息安全方向積累了豐富的理論和實踐積累，能夠以更低的成本提供更高性能的產(chǎn)品，同時配以本地化的服務(wù)團(tuán)隊核心技術(shù)是基于形式化驗證、機(jī)器學(xué)習(xí)等技術(shù)的代碼正確性、安全性自動化分析平臺。
具體來說，如果客戶對于精確性有強(qiáng)需求，我們可以用形式化驗證的方法論；如果客戶對于成本很敏感，我們則通過技術(shù)和算法的優(yōu)化來提供有競爭力的價格正因為這是個成熟的市場，反而有我們創(chuàng)新軟件企業(yè)的機(jī)會因為市場上已有產(chǎn)品開發(fā)都比較早，彼時能夠用到的算法非常有限，效果有明確的天花板。
我們在研發(fā)中復(fù)用了大量近5~10年才出現(xiàn)的開源軟件同時，我們做了大量開源工具的修復(fù)、篩選，積累了大量的測試數(shù)據(jù)，這又是單純的開源軟件做不到的舉個例子，每一條規(guī)則都有十幾條測試數(shù)據(jù)，對系統(tǒng)的每一個改動都要把所有測試跑一遍。
如果用一個普通的機(jī)器要跑一天，改動一下又要跑一天，這個質(zhì)量保證的過程，開源軟件提供者不會提供，發(fā)現(xiàn)問題后也不會幫你修復(fù)，商業(yè)化產(chǎn)品的價值就在這里Q6：在靜態(tài)分析領(lǐng)域，尚不存在國產(chǎn)方案，所以你看到的就是這個領(lǐng)域里“國產(chǎn)替代”需求的商業(yè)價值。
目前那一科技的商業(yè)化進(jìn)程如何？目標(biāo)客戶和場景是如何選擇的？賈梟：具體而言，包括汽車、醫(yī)療、軍工等行業(yè)客戶目前都有覆蓋，后續(xù)也將繼續(xù)擴(kuò)展到更多應(yīng)用場景，包括醫(yī)療器械、工業(yè)4.0、信息化平臺、工廠等醫(yī)療、汽車、軍工、航天等行業(yè)，出于安全原因，這些行業(yè)通常需要獲得靜態(tài)代碼分析工具。
舉幾個例子，現(xiàn)在快速起量的場景是軟件定義汽車（Software Defined Vehicles其核心思想是，決定未來汽車的是以人工智能為核心的軟件技術(shù)，而不再是汽車的馬力大小、是否真皮沙發(fā)座椅、機(jī)械性能好壞）。
汽車是嵌入式代碼，它有個特征，更新頻率介于航天器和手機(jī) APP 中間，需要更新，但不像手機(jī) APP 那么頻繁但是，代碼量激增和軟件更新頻率提高，原來的測試方法已經(jīng)無法滿足測試需求，而且行業(yè)競爭的加劇推動了對自動化代碼檢查工具需求的快速增長。
醫(yī)療行業(yè)，我們主要服務(wù)的是需要軟件的三類醫(yī)療器械軍工行業(yè)尤其是航天航空業(yè)，以及軌道交通、高鐵、半導(dǎo)體等，出于安全性的考慮，它們是不得不用對于這些行業(yè)的用戶，能否匹配需求主要看付費意愿和業(yè)務(wù)增長規(guī)模，以及用戶使用的語言。
自愿使用代碼檢測工具的公司，一般是團(tuán)隊規(guī)模達(dá)到了一定水平，人工檢測代碼看不過來；或者是甲方要求過于苛刻，人工保證不了，尤其像 C++ 語言里的很多錯誤，人工看不出來，只有程序才能發(fā)現(xiàn) 現(xiàn)在我們開發(fā)客戶主要有兩種思路：行業(yè)視角，即看哪個行業(yè)大概率會出現(xiàn)相關(guān)的問題；人的視角，看誰在用相關(guān)的語言寫代碼。
最近一家比較典型的客戶是做半導(dǎo)體相關(guān)行業(yè)他們工作量大且交付壓力大公司有 50 多名開發(fā)人員，雖然團(tuán)隊整體素質(zhì)較高，習(xí)慣進(jìn)行代碼審查，但是在交付壓力下無法有效地控制代碼質(zhì)量，因為無法及時修復(fù)的問題，會導(dǎo)致項目交付的拖延。
雖然公司所處行業(yè)目前沒有合規(guī)的要求，但是降本增效的需求非常強(qiáng)當(dāng)他們意識到人工檢測出來的都是機(jī)器可以且能更有效發(fā)現(xiàn)的問題，他們就找到了我們 Q7：那一的團(tuán)隊組成是怎樣的？未來希望吸引哪方面的人才？賈梟：我的合伙人是交大校友，也是上一段創(chuàng)業(yè)的戰(zhàn)友。
多位核心團(tuán)隊具有海內(nèi)外名校教育背景，并且具有在美國 Google、Facebook、Amazon 等公司的工作經(jīng)歷團(tuán)隊兼具學(xué)術(shù)和工業(yè)界的背景和經(jīng)驗，在程序分析和信息安全方向有豐富的理論和實踐積累我們掌握頂尖的深度靜態(tài)分析技術(shù)，能夠不斷通過設(shè)計和實現(xiàn)算法，自動地基于新的邏輯框架來證明程序的性質(zhì)，應(yīng)對表達(dá)能力更強(qiáng)的編程語言特征。
我相信有共同理想的、并為之一起努力的人才能一起做事情所以我們對有志于從事這個行業(yè)的年輕人乃至應(yīng)屆生也是很歡迎的我們跟交大 Linux 用戶組、各老師實驗室建立了穩(wěn)固且密切的聯(lián)系，是最歡迎的“實習(xí)基地”那一團(tuán)隊的年輕成員主要來自校招，現(xiàn)場一起工作 3 個月后，我們對人的能力就有很精確的認(rèn)識了。
Q8：你剛提到“只要有程序和開發(fā)者的地方就有靜態(tài)測試需求”，ChatGPT 所展現(xiàn)的 AI 生成代碼的能力是否會顛覆這個需求？賈梟：ChatGPT 是否改變工具本身？我認(rèn)為原理上行不通我們做過大量測試，比如丟給 ChatGPT 一段代碼，問有什么問題，它對字面意思、變量名、函數(shù)名非常敏感，但這個變量換個名字，GPT 就無法識別了。
實際上，換名字后，程序的邏輯是不變的，不應(yīng)該有不一樣的結(jié)論出現(xiàn)，測試的答案應(yīng)該是唯一的但 ChatGPT 只是看你寫的什么詞，根本就看不懂邏輯因此，目前看 ChatGPT 想要替代我們這些工具的檢查，還不行。
反過來，如果有很多人都開始用 ChatGPT 寫代碼，在用它寫完代碼以后，肯定要再檢查一遍，當(dāng)檢測代碼的工作量變更大了，就需要更高效的測試速度，反而更需要我們了 ChatGPT 所展現(xiàn)的 AI 生成代碼的能力，怎么用？我們有一個思路是 ChatGPT 生成代碼后，先用我們代碼檢查工具掃一遍，掃出的問題再給它改，改了以后再掃出來，一直等到找出所有問題后，再給人類程序員。
這樣的工作流輸出的代碼質(zhì)量應(yīng)該是遠(yuǎn)高于直接生成的代碼Q9：未來3~5年，那一科技希望能解決哪些問題？賈梟：在垂類中，完整覆蓋靜態(tài)代碼分析產(chǎn)品的研發(fā)、銷售；在產(chǎn)品功能和效果上，達(dá)到目前市場上成熟產(chǎn)品的水平。
那一希望幫助各行業(yè)客戶及時發(fā)現(xiàn) bug 和潛在缺陷，解決 Code Review 代碼審查環(huán)節(jié)自動化和效率提升的痛點，提升軟件開發(fā)和運維的效率，為客戶提供提高開發(fā)效率、提升代碼質(zhì)量的解決方案，滿足企業(yè)合規(guī)性的需求。