商業第 64 期

賣合規的公司，违反了合規

YC 直接除名的 Delve 事件，對開源生態系與新創公司信任結構提出的質疑

安光涉（Oswarld）· INLEVEL9 作者與編輯

賣合規的公司，违反了合規

前言

各位讀者，我想先講一個充滿諷刺意味的故事。曾經有一家新創公司，承諾「用 AI 幾天就能搞定」SOC 21、HIPAA2、GDPR3 等安全認證。估值 3 億美元、A 輪 3,200 萬美元、Forbes 30 Under 30、YC 創辦人親自稱之為「頂尖新創公司」。 然而，這家連最基礎的開源授權合規都涉嫌未遵守的公司，如今被推上了風口浪尖。

2026 年 4 月 4 日，YC 要求 Delve 離開社群。 在 YC 的歷史中，將投資組合公司除名的案例極為罕見。這起事件不僅僅是一樁新創公司醜聞，它同時揭示了開源分叉4的倫理邊界、加速器網路的信任結構，以及以「速度」為賣點的 AI 新創公司所面臨的結構性陷阱。

17 個月的時間軸：從火箭到墜落

將 Delve 的軌跡按時間順序整理，可以清楚地看到矽谷的「成長敘事」是如何被建構、又是如何崩塌的。

2023 年：當時在 MIT 就讀的 Karun Kaushik 和 Selin Kocalar 從醫療 AI 書寫工具起步，在親身體驗 HIPAA 認證的痛苦後，轉向5合規自動化。

2024 年初：被選入 YC Winter 2024 批次。 他們的提案是：AI 代理自動處理證據收集、報告撰寫、差距監控等全流程。

2025 年 1 月：獲得 General Catalyst 等機構的 330 萬美元種子輪融資。

2025 年 4～5 月：關鍵事件在此發生。Delve 成為了同為 YC 校友的 Sim.ai 的客戶——為 SOC 2 和 HIPAA 認證支付了 1 萬 5 千美元。然而在同一時期，內部正在將 Sim.ai 的開源產品 SimStudio 移植到自家產品「Pathways」中。據內部知情人士稱，內部 Notion 文件中有一份名為「Sim Studio Port Plan」的文件，具體列出了需要複製的資料夾清單（Blocks、Components、Executor、Tools、資料庫結構）。

2025 年 7 月：由 Insight Partners 領投，完成 3,200 萬美元 A 輪融資。估值 3 億美元。

2025 年 9 月：YC CEO Garry Tan 轉發了 Kaushik 的 MIT 演講貼文，並稱「Delve 是頂尖 YC 新創公司」。當時該貼文的瀏覽量達 17 萬 5 千次。

2025 年 12 月：包含數百家客戶 SOC 2 稽核報告草稿的 Google 試算表以公開可存取的方式外洩。Kaushik 向客戶發送郵件稱「沒有外部人員存取過資料庫」。同月，兩位創辦人入選 Forbes 30 Under 30 AI 類別。

2026 年 3 月 18 日：匿名 Substack 帳號 ‘DeepDelver’ 發表 Part I。核心指控：494 份 SOC 2 報告中有 493 份內容 99.8% 相同——這是一篇揭露性文章。 透過印度認證機構進行的橡皮圖章式稽核。並非 AI，而是預先撰寫的模板和人工流程。

2026 年 3 月 20 日：Delve 透過部落格發表反駁。 「Delve 不發行合規報告。最終報告由獨立稽核師發行。」patio11（HN 知名論者）評價這份聲明是「承認核心質疑卻否認一切責任的教科書式不否認否認（non-denial denial）6」。

2026 年 3 月 23 日：Insight Partners 從其網站上刪除了關於 Delve 投資的部落格文章。

2026 年 3 月 30 日：DeepDelver 發表 Part II。新質疑：Delve 分叉了 Sim.ai 的 Apache 2.0 授權7開源產品 SimStudio，以「Pathways」之名以 5 萬至 20 萬美元以上的價格銷售給企業客戶。 Sim.ai CEO Emir Karabeg 向 TechCrunch 確認雙方之間完全沒有授權合約。

2026 年 4 月 1 日：TechCrunch 報導開源授權違規質疑。 在 X（原 Twitter）上成為趨勢話題。

2026 年 4 月 4 日：YC 要求 Delve 離開社群。 Garry Tan 的內部 Bookface8 訊息外洩：「YC 是一個社群，不只是一間加速器。我們社群中的創辦人必須彼此信任，我們也必須信任他們。當這種信任崩塌時，我們只能做一件事。」

開源分叉，哪裡是合法、哪裡是背叛？

這起事件中誤解最多的地方，正是開源授權問題。DeepDelver 將其稱為「智慧財產竊盜（IP theft）」，但法律上需要更精細的區分。

SimStudio 是以 Apache 2.0 授權公開的開源專案。Apache 2.0 是允許性（permissive）授權，允許商業使用、修改和重新分發。 甚至允許將修改後的程式碼以其他授權重新分發。因此，Delve 分叉 SimStudio 並用於商業目的，本身在授權上是允許的行為。

不過，Apache 2.0 要求四個條件：

第一，必須保留原始版權聲明。第二，必須包含授權文字副本。 第三，如果存在 NOTICE 檔案，必須包含其中的署名9聲明。 第四，修改過的檔案必須標明變更事實。

Delve 被懷疑的行為是，在完全忽略這四個條件的情況下，向潛在客戶宣稱 SimStudio 的程式碼是「我們從零開始自己打造的（built from the ground up）」。這既是 Apache 2.0 違規，也是對客戶的欺騙。我在這起事件中關注的，是「合法分叉」與「倫理分叉」之間的落差。在開源世界中，分叉是日常行為。但大多數分叉都建立在向原作者標註貢獻、回饋社群的慣例之上。

Delve 的情況不同。首先，他們拿走了客戶的程式碼。（說得好聽是「拿走」……其實是偷。）Sim.ai 是 Delve 的合規客戶。也就是說，Delve 很可能透過合規業務掌握了 Sim.ai 的安全體系和內部系統資訊。在這種信任關係中，他們拿走了對方的核心產品。在拒絕授權提案後使用了程式碼。 據 Sim.ai CEO Karabeg 所述，Sim.ai 曾向 Delve 提出授權合約，但 Delve 以「ROI 不足」為由拒絕。然後將該程式碼銷售給企業客戶。接著，將維護工作外包。據內部消息，Delve 將 Pathways 的維護交給了孟加拉的外包開發公司。這與「自己打造」的說法相矛盾。

開源生態系之所以能運作，正是建立在這種信任之上。公開程式碼意味著「你可以拿去用，但請標明來源」——這是最基本的承諾。而一家銷售合規的公司連這個最基本的承諾都未遵守，這已超越諷刺，暴露了結構性問題。

這起事件的道德破產值得關注，因為它不是單一行為，而是層層疊加的背叛結構。

  • 第一層：未經許可拿走了客戶的程式碼。
  • 第二層：很可能沒有向該客戶提供真正到位的合規服務。
  • 第三層：將拿走的程式碼謊稱「自己打造」，銷售給其他客戶。
  • 第四層：在原作者提出授權合約時以 ROI 為由拒絕，卻用該程式碼賺取了 5 萬至 20 萬美元以上的營收。
  • 第五層：所有這些都發生在「我們為您自動化合規」的招牌之下。 一家承諾代辦合規事務的公司，連適用於自身的最基本規則都未遵守。這不只是授權違規，而是信託義務（Fiduciary Duty）10的顛覆。

YC 網路信任結構暴露的問題

這起事件之所以超越一般的新創公司舞弊，是因為 YC 這個生態系的信任結構本身受到了考驗。YC 校友網路不只是交換名片的聚會。「因為是 YC 校友所以放心用」的隱性信任，直接轉化為實際交易。 Sim.ai 購買 Delve 的合規服務、Lovable、Brex、Gusto 等公司選擇 Delve，都是在這個信任網路中發生的事。

問題在於，這種信任可能取代了盡職調查（Due Diligence）11。當 Garry Tan 在 2025 年 9 月稱 Delve 為「頂尖新創公司」時，這等同於對整個 YC 社群的隱性背書。基於這份背書，超過 1,700 家客戶將自身的安全認證（HIPAA 違規可能涉及刑事責任的領域）交給了 Delve。

HN 社群的一則留言精準地指出了這個結構：「YC 除名 Delve 不是因為授權違規，而是因為背叛了其他 YC 公司。」如果 Delve 分叉的是 YC 外部公司的程式碼，會有這樣的反應嗎？這個問題令人不安，因為答案很可能是「不會」。

加速器的信任網路所具有的雙面性在此顯現。校友之間的交易降低了銷售成本、加速了成長，但同時也可能形成「自己人所以不用仔細審查」的鬆散驗證文化。這不是 YC 獨有的問題，而是所有封閉式網路型商業生態系都存在的結構性弱點。

Oz 的視角

老實說，我認為這起事件中最令人恐懼的部分，不是開源授權違規。

從我制定 GTM 策略的經驗來看，Delve 的商業模式本身就是「賣速度的結構」。「幾個月的事幾週搞定」這個價值主張，從客戶角度很難拒絕。但追根究底，這種速度從何而來？最終只能來自「省略或自動化驗證流程」。合規的本質是獨立驗證具有價值的領域，而將驗證「自動化」在結構上是矛盾的。

開源分叉也是同一脈絡。在「必須快速擴展產品線」的壓力下，使用他人程式碼本身合法，但省略了標明來源和遵守授權的「慢過程」。對速度的執著侵蝕了倫理邊界，這就是這個模式。

還有一點值得注意。所有這些質疑不是由監管機構，而是由一位匿名的 Substack 作者揭露的。不是 SEC 調查、不是 AICPA12處罰、也不是 HIPAA 執法。是一位曾經的客戶產生了懷疑、收集了數據、寫了文章並公開。這證明了合規產業的自我監督體系有多脆弱。

最後，我想談談聲望機器（Prestige Machine）13的運作方式。YC 批次 → 種子輪 → YC 創辦人公開背書 → A 輪 → Forbes 30 Under 30 → 舊金山和紐約各地的戶外廣告。這個飛輪一旦轉動起來，裡面的人就結構性地難以提出「這真的在運作嗎？」這個問題。因為提出質疑本身就意味著離開網路的代價。Delve 事件以最極端的形式展示了，當聲望飛輪取代了盡職調查時會發生什麼。

結語

第一，將開源用於商業目的是合法的，但抹去署名並宣稱「自己打造」的那一刻，就變成了授權違規和信任問題。Apache 2.0 是允許性授權，但不代表「想怎麼用就怎麼用」的授權。

第二，網路型信任是強大的資產，但不應取代盡職調查。 僅因為「YC 校友」或「投資組合公司」，就將安全認證這種涉及法律責任的領域交出去，是危險的。

第三，以「速度」為核心價值銷售的新創公司，永遠應該問自己——那速度從何而來。如果有被省略的流程，就應該先追問那個流程為什麼存在。

Delve 的 1,700 家客戶中，許多是每天處理病患數據的企業。對這些企業持有的 SOC 2 認證有效性提出的質疑，才剛剛開始。

還有一個問題留在那裡。這起事件是「一組壞創辦人」的越軌行為，還是在「快速成長」的壓力下，倫理邊界被系統性侵蝕的結構性模式？ 我傾向於後者。與其說 Delve 特別惡意，不如說在速度和成長的激勵結構中，選擇「捷徑」太容易了。而本應阻止那些捷徑的安全機制（獨立稽核、投資者的盡職調查、社群的相互驗證）全部失靈了。

參考資料 & 延伸閱讀

作者 安光涉（Oswarld） 現任世宗大學兼任教授，INLEVEL9 策略顧問。職涯經歷、研究、著作與近期活動會持續更新在作者介紹。 最新動態 · 2026年7月：HEMA-2: A Consolidation-Aware Tri-Memory Architecture with Multi-Channel Scheduling for Lifelong Conversational AI。

각주

  1. SOC 2（System and Organization Controls 2）：由獨立稽核師驗證企業是否安全地管理客戶數據的安全認證。對 B2B SaaS 企業而言，幾乎是業務必備條件。 ↩

  2. HIPAA（Health Insurance Portability and Accountability Act）：美國的醫療資訊保護法。處理病患健康資訊的企業必須遵守此法律，故意違規可能面臨刑事處罰。Delve 的客戶中許多屬於此法規的適用對象，因此影響廣泛。 ↩

  3. GDPR（General Data Protection Regulation）：歐盟的個人資料保護法規。違規最高可處全球營收 4% 的罰款，對全球企業而言是最強有力的數據法規之一。 ↩

  4. 分叉（Fork）：複製開源專案的原始碼，以此啟動一個獨立的新型專案。雖然與原始專案同根同源，但朝不同方向發展，名稱源自樹枝分叉的意象。 ↩

  5. 轉型（Pivot）：新創公司在原有事業方向不順時，徹底改變核心策略或產品的行為。Delve 從醫療 AI 書寫工具轉向合規自動化。 ↩

  6. 不否認的否認（Non-denial denial）：一種修辭技巧，不直接否認質疑，但營造出否認的效果。「我們不發行報告」是 Delve 回應的典型範例——只是發行主體不同，並未否認內容生成這一核心質疑。 ↩

  7. Apache 2.0 授權：由 Apache 軟體基金會制定的開源授權。允許商業使用和修改，但必須遵守保留原始版權聲明、包含授權文字、標明變更事項等條件。核心精神是「你可以拿去賺錢，但請標明來源」。 ↩

  8. Bookface：僅限 YC 校友存取的内部社交網路。名稱取自 Facebook 的早期名稱。是 YC 校友之間進行交易、招聘、資訊交換的核心平台，由 Garry Tan 親自開發了早期版本。 ↩

  9. 署名（Attribution）：標明原作者或原始來源的行為。在開源中，雖然可以自由使用程式碼，但「誰最初創作的」標註幾乎是所有授權的最低要求。 ↩

  10. 信託義務（Fiduciary Duty）：在為他人利益行事的關係中產生的法律與倫理責任。律師與當事人、稽核師與客戶的關係是典型範例。合規服務供應商在存取客戶安全資訊的同時，又拿走該客戶的產品，是對這種信任關係的根本性違反。 ↩

  11. 盡職調查（Due Diligence）：在投資或交易前，對對方的財務狀況、技術能力、法律風險等進行詳細調查的過程。與「放心交出去」相對的概念。在這起事件中，YC 網路的信任導致了省略盡職調查的結構性問題。 ↩

  12. AICPA（American Institute of Certified Public Accountants）：美國註冊會計師協會。制定和管理 SOC 2 框架的機構。獨立稽核師依據該機構的標準評估企業的安全控制，而 Delve 事件中被質疑的正是這種獨立性。 ↩

  13. 聲望機器（Prestige Machine）：指新創生態系中，特定訊號（知名加速器畢業、知名 VC 投資、媒體曝光、獲獎等）相互強化，放大企業可信度的自我強化循環結構。當這個飛輪運轉時，即使沒有外部驗證，也會形成「值得信賴的公司」的認知。 ↩

延伸閱讀

第 61 期商業

BYD 5 分鐘充電真正說的是什麼：不是充電速度，而是「產業結構」

問題不在於能否做出相同的技術，而在於是否擁有相同的結構

第 59 期商業

從車庫到3.8兆美元

蘋果的50年不僅僅是一部企業成長史，更是一本教科書，展示了技術如何成為「生態系」，而生態系又如何成為「文化」

第 58 期商業

經濟學家快了 5 倍。但品質呢？

真正的競爭在於「捕捉錯誤的速度」與「製造錯誤的速度」之間