文章总结： 文章指出AI工具虽能帮新手快速发现漏洞，但无法培养判断漏洞真伪的能力，强调原理学习的重要性。作者建议通过多看书、多实践、多总结、多思考来夯实基础，避免依赖AI速成，才能在安全行业立足。 综合评分： 72 文章分类： 安全意识,安全培训,实战经验

AI 能让菜鸟挖出洞，却给不了你判断真假的本事

原创

Sink Sink

船山信安

2026年10月3日 18:49 湖南

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

评论 · OPINION

AI 能让菜鸟挖出洞，却给不了你判断真假的本事

评论 · OPINION · 写给只想烧 token 速成的年轻人

前两天有个师傅加我，上来就问：”大佬，有没有那种 AI 一键挖洞的教程？我想快点出成果。”我盯着这句话看了好几秒。不是不想教，是这句话里藏着太多我以为早该明白、其实很多人没明白的事。我在这行摔打了N年，不算大牛，就是踩过的坑比别人多。今天想跟还在门口张望的年轻人，说几句掏心窝的话。

01行业不景气，高薪神话早破了

我先从最扎心的事说起：钱。

这两年网络安全圈子里，最流行的情绪不是”我又学会一招”，是焦虑。HC 在砍，校招在缩，社招的工资倒挂早两年的 offer。前几年那种”学俩月安全、随便拿个二三十万”的故事，放到现在听，跟神话差不多。

我见过不少年轻人，报班、买课、追着热点跑，脑子里就一个念头：学安全等于高薪。等真去面试，人家问一句”SQL 注入的分类和防御你讲讲”，他卡壳；再问”你复现过哪个 CVE，根因是什么”，他沉默。简历自然石沉大海。

不是说这行没机会。是有机会，但机会留给真有底子的人。潮水退的时候，裸泳的人先被冲走，这是常识，不是我发明的。别把行业高峰期的特殊行情，当成这行的常态。

想靠”学个安全就能拿高薪”的念头进来的人，先把这个念头放一放。高薪从来不是学了个名字换来的，是你能解决别人解决不了的问题换来的。

02连原理都不知道，AI 挖出来的洞你也接不住

再说 AI。

现在工具是真多。丢一个 URL 进去，十几秒，啪——甩你一脸”疑似漏洞”。年轻人眼睛一下就亮了：你看，我不用懂原理，也能挖洞！

我问他一句：AI 说这里是 SQL 注入，你分得清它是真注入，还是工具误报吗？它给的 payload 打穿了，你知道为什么能打穿、断点在哪一步吗？它说这个接口越权，你能把”未授权访问”和”水平越权”的区别讲清楚吗？

他答不上来。

这还不是最糟的。最糟的是，AI 会编。它给你一条看起来特别专业的利用链，步骤齐全、术语漂亮，其实根本不成立。你不懂原理，就当真了，拿着去练，练出一身错误的肌肉记忆，自己还觉得挺努力。

我见过拿 AI 跑出来的”漏洞”去交 SRC 的，人家审核回一句”无法复现”，他连完整的请求包都讲不明白。token 烧了一堆，时间花了一堆，到头来啥也没落着，还觉得自己”已经会挖洞了”。

这叫浮。浮在水面上，看着热闹，底下是空的。AI 给你递上来一把钥匙，你连锁长什么样都没见过，拿着钥匙乱捅，捅开了也不知道为什么开，捅不开更不知道为什么不开。

03AI 来了，反而要学得更深

换个角度想，你可能会慌，但我想让你稳住。

AI 最先替掉的，恰恰是”会操作、但不知所以然”的那批人。以前招个人，干重复扫描、搬 payload、跑脚本，现在 AI 干得更快、更便宜、不抱怨。这部分岗位在缩，是真的。

那什么替不掉？

能看懂一段恶意流量、判断它到底想干啥的人；能读源码、顺着数据流找到根因的人；能在 AI 丢给你十份报告时，一眼挑出那份真的人；更关键的是，在没有 AI、没有工具、只剩一个终端和你的脑子时，还能自己往下推的人。

这些能力的底子，全是原理 + 实践 + 思考。AI 是放大器。你底子越厚，它放得越大；你是个空壳，它就放大你的空——把你那点水份，照得清清楚楚。

越怕被 AI 替代，越该往原理里钻。AI 把你从重复劳动里解放出来，本意是让你腾出手去啃更难的东西——结果你连简单的都不肯啃。

04老兵的笨办法：多看书、多实践、多总结、多思考

说了这么多”别”，总得给点”该怎么做”。我是笨人，只会笨办法，但笨办法管用。

多看书。别光刷公众号的速成文、别只收藏”一句话搞定 XX”的截图。协议怎么跑的、操作系统怎么管内存、Web 请求从浏览器到服务器走哪几步、密码学那点基础——这些书不性感，但撑得住你整个职业生涯。

多实践。搭环境、复现漏洞、自己写个有缺陷的小程序再亲手打穿它。手感是敲出来的，不是看出来的。你看一百遍别人挖洞的视频，不如自己卡在一个报错上耗一下午。

多总结。每打穿一个洞，写下来：怎么发现的、根因在哪、为什么这个修法才对。不写，下次遇到变体你还是不会；写了，它才真正变成你的。

多思考。别只问”怎么做”，多问”为什么是这样””换我会怎么防””这个漏洞的本质归到哪一类”。想通这一类，比记住一百个孤立的技巧值钱。

沉下心，一天啃一点。这条路没有一键通关。

AI 替你挖洞的那天，你得有本事站在它挖出的坑边，知道坑有多深、该往哪填。

别好高骛远。先把那本落灰的书，翻开第一页。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：船山信安 Sink Sink《AI 能让菜鸟挖出洞，却给不了你判断真假的本事》