安全工程师_AI辅助渗透审计我从手审变AI协作

原创于 2026-08-07 15:31:56 发布 · 157 阅读

3 ·

本内容遵循CC 4.0 BY-SA版权协议

GEO检测

我是做安全的，干了六年，主要代码审计和渗透。

一、AI把我的饭碗先刨了个角

我以前靠手审吃饭。一个模块丢过来，我一行行读，找越权、找注入、找逻辑漏洞。这活枯燥但稳，公司离不了。我带了个小习惯：每审完一个模块，记一笔哪里容易出岔子。六年攒了厚厚一本，那是我的底气。

那本笔记我翻得最多的是上线前，逐条对着查。可后来工具上了，老板有回问"还要你手过吗，工具不是跑过了"，我一时答不上来。笔记是死经验，碰到新业务它帮不上，最后还是得我现场推。我才意识到，真正值钱的不是记了什么，是遇到没见过的坑，能不能当场判出来。

变故从组里上了AI安全工具开始。它能自动扫一遍代码，吐出一堆疑似漏洞加报告草稿。头回看，我心想这不胡说吗，半数是误报。可老板喜欢——又快又出数。慢慢，初级的扫描和出报告初稿，不再交给我。我那本笔记，忽然显得像老黄历。离职那同事临走请我喝咖啡，说"别像我，等活没了才慌"。

更难看的是招聘。满屏"精通AI大模型应用"，安全岗也考怎么用模型辅助审计。我们组新来的小孩，上来就调工具跑全库，我那套手工活显得慢。组里搞AI用量榜，三个月一轮末位谈话，低职级的活最容易被覆盖。我做了六年，忽然卡在中间，上不去下不来。有回我手审揪出一个逻辑漏洞，工具压根没扫到，可在榜上这不算"用量"，没人看见。

有回上线前夜，工具跑完报告写着"未见高危"，我手过一遍，在一个订单状态机里揪出个并发越权——两个请求同时改库存，能多下单数。这种要顺着业务逻辑推的坑，工具只会看单点代码。我把这写进报告，老板看完只说"嗯"，没多夸。可我心里清楚，这活它替不了。类似的坑不止一回。工具看的是代码，我看的是人会怎么钻。同样是改价格，正常流程和促销叠加，边界就乱了；同样是查权限，管理员和普通用户走的分支不同，模型常混。这种"人怎么想、会往哪钻"，模型学不全，得我顺着业务推。我常跟老婆说，以前怕写不完，现在怕判错——怕的对象换了，怕没换。

有个做后端的朋友说，他们一家外企的老同事干了十五年去年被优化，说以前攒的优势一夜不值钱，甚至想转蓝领。大厂的人也放话，以后只需过去五分之一的工程师，多数人在陪跑。我听着，手心出汗——十五年尚且如此，我六年算什么。那本笔记现在更多用来提醒自己，别停在老地方。

二、后来是被一次大项目逼着用上的

抵触归抵触，活儿不等人。有回接了个急活，三天要出一份大系统的审计报告。按老办法我根本看不完。同事撂一句：“你不会让AI先跑一遍？”

我硬着头皮用。把代码块喂进去，让它标可疑点、给渗透思路。出来一大片，我一条条核实——果然一半误报，但另一半我本来要花一天才能捞到的，它十分钟点出来了。那次我第一次承认，这东西不是玩具，是放大镜，不是替身。说实话，头两个月我用得别扭。它给的思路常跑偏，我改得比自己写还累。直到我把六年笔记翻成核查清单，让它照着走，才顺。原来不是工具不行，是我没把经验翻译给它。那阵子下班也在想怎么把经验翻成清单，老婆说我魔怔了。可两个月后，我过的模块数比从前多一倍，错的比从前少。值。说实话，要不是那次急活逼着，我可能到现在还嘴硬。

之后换用法。AI负责粗筛和出思路，我负责验证和定级。它说"这里可能越权"，我去构造请求证明确实能越权，再写进报告。它给的修复建议，我按系统实际改。手里活从"找"变成"判"。有回它把一段正常权限判断标成高危，我差点跟着写进报告，幸亏多看了眼。现在我对AI的输出，默认不信，逐条过。我也给自己定了规矩：AI先跑，但我至少手动验证关键路径。省下的时间不是摸鱼，是去看更深的业务流。一个月下来，过的模块数翻了倍，榜上第一次进前几。

那之后我给自己又加一条：每周把踩过的误报整理成文发组里。表面是分享，实际是让我的判断被看见——榜上记的是用量，可真正值钱的是判级，这点我得自己争。

三、现在从手审变AI协作，效率变了但误报得我兜

今天日常跟以前不一样。以前三天审一个模块，现在一天能过两三个，靠AI先筛。可人更累——它给的每一条我都得验证，误报也得查明白才能划掉。有回连续看了四百条告警，眼睛发酸，却真查出三个它能漏掉的细漏洞。产出多了，但累在"信不得"，离线也焦虑，下班脑子还在转。

我的角色也挪了位。以前是"找问题的人"，现在是"判问题的人"：哪些真漏洞、哪些误报、哪些要马上修、哪些排期，我拍板。判级这活，外人看轻巧。真做起来，一个"中危"还是"高危"，差的是要不要连夜修。有回工具标"中危"的鉴权绕过，我判成"高危"，因为碰到的是管理员接口。半夜拉人修完，第二天没出事。这事要是交给工具定级，大概率排到下周。组里新来的小孩跑工具快，但判不了级，这事还得我。新长出来的活还有：把常见误报整理成规则喂回去，让工具少犯傻；带新人看懂AI为什么错。我一天写验证脚本的时间，可能不到三成，剩下在判和教。

现在我带新人，第一课不是教他跑工具，是教他"不信"。AI给的结论先当嫌疑人，逐个验证。有回新人照着工具标的高危直接修，结果是误报，白忙半天，从那以后他学会先问我。说白了，工具把重复的活接了，把要担责的活留了——轻松是假象，责任更重是真。岗位没消失，只是从"找问题"挪到了"定问题"。牌桌没散，只是发牌的人换了。

收入结构没大变，工资还是那点，就是活儿更杂了。我偶尔用AI接外面的审计私活补贴家用，帮一家小电商过权限，老板说"你看着弄，别太贵"。我用AI先扫出三十多条，逐条判，真要紧的其实就五条。收费按天算，比纯手审快一倍，可结论每个都是我签的字。远谈不上翻身。也不是天天顺。有回工具把一个小接口标成"安全"，我没复核就过了，后来被发现隐藏越权，被拉去谈话。那次彻底懂了：效率是AI给的，锅永远是人背。现在开会我汇报的不是"审了多少行"，而是"拦了多少真漏洞、放了多少误报"。路还长，谁也说不准明年工具到哪步。说到底，我把经验压在"判断"这道关上，让AI跑腿，不是和它比谁扫得快。

现在我跟同行聊，大家都在学同一件事：让机器先跑，自己兜底。位置没升，压力没小，只是换了个地方扛。危机感没全散。哪天工具准到不用人判，我不是没危险。但至少现在，卡在"机器出、人定夺"这道缝里，暂时还有用。

一点心里话

AI没把安全这行抹掉，但把活儿重新切了。以前比谁眼睛毒、手快，现在比谁更会借力、又能兜住机器的错。我不替任何人打包票说学了就安稳，我自己也是边走边看。能确定的是，死守手工不用新工具，比用着被替，先没的是前者。

想入门 AI 大模型却找不到清晰方向？备考大厂 AI 岗还在四处搜集零散资料？别再浪费时间啦！2025 年 AI 大模型全套学习资料已整理完毕，从学习路线到面试真题，从工具教程到行业报告，一站式覆盖你的所有需求，现在全部免费分享！

👇👇扫码免费领取全部内容👇👇