想学AI 代码审计及漏洞研究，不知道该如何入手？听我讲几句......
润霖@闪石星曜
润霖@闪石星曜
闪石星曜AI攻防实验室
2026年11月5日 11:19
天津
去阅读
更名说明： 原《AI%20Java代码审计高阶实战班》正式更名为《闪石星曜%20@AI%20代码审计与漏洞研究攻防实战》。课程不再局限于%20Java，AI%20代审更新中将穿插%20PHP%20代码审计，构建多语言攻防实战体系。一次付费・永久免费・手把手实操・持续迭代前沿内容。
代码审计及漏洞研究的工作方式，正在被%20AI%20重新定义。
当大模型已经能够读懂程序逻辑、推断数据流向，当智能体可以自主调用静态分析工具、检索安全知识库，代码审计的效率与深度都进入了新的阶段。
但真正驾驭%20AI%20做审计，并不是简单地向聊天工具提问、套用几个提示词，而是需要同时具备扎实的代码审计功底，以及工程化使用大模型的能力。
这正是【AI%20代码审计与漏洞研究攻防实战】课程的定位：以%20Java%20为主要载体、同步穿插%20PHP%20代码审计，把大模型原理、提示工程、RAG%20知识库、Agent%20智能体、MCP%20协议等前沿技术，与真实的代码审计场景结合，带学员从零搭建一套属于自己的代码审计智能体。
关于这门课，有几点需要先讲清楚：
- 一次付费，永久免费。 课程不是一次性交付的产品，而是一套长期运行、持续迭代的实战体系，后续新增内容学员免费跟进，不再另收费用。
- 手把手实操教学。 不仅讲透理论知识，每个知识点还配有对应的实战讲解，讲师全程带着学员一步步搭建环境、追踪代码、落地实战项目，确保听得懂、做得出来。
- 只做增量更新。 已经上线、录制完成的课程作为底盘一次性开放，不再重复讲授；每一次迭代都只新增全新的知识点，不把时间消耗在重复内容上。
- 当前更新主线是%20AI%20赋能代码审计。 现阶段课程正持续更新%20AI%20与%20Java%20代码审计结合的前沿内容，并穿插%20PHP%20代码审计相关知识点，随着技术演进不断延伸。
- 学前沿，不学过时的存量。 我们主张贴合新时代的学习思路：紧跟技术潮流，把精力放在新鲜、可用、代表未来方向的内容上，而不是反复咀嚼老旧过时的知识。
这门课适合这样的你：
- 对网络安全有热情、希望系统入门代码审计的网安爱好者；
- 正在学习%20Java/PHP%20代码审计、需要完整知识体系和实战路径的代码审计学习者；
- 希望借助%20AI%20提升审计效率、突破能力瓶颈的安全工程师；
- 希望从代码层理解漏洞原理、推动安全开发的开发人员。
课程由两部分构成：已经建成的%20Java%20代码审计主干体系（作为地基，报名后全部开放），以及正在持续更新的%20AI%20代码审计主线内容（当前学习重点，以%20Java%20为主并穿插%20PHP%20代码审计）。当前，已更新约%20140%20余节课程内容。正在火热AI代审更新中......
这部分内容已全部录制完成，目前已更新约%20120%20余节，覆盖从零基础到进阶的完整成长路径，是理解漏洞、驾驭%20AI%20的必要底盘。报名后一次性开放，可按自身基础和学习规划随时观看，不再重复直播讲授。
| 模块 | 核心内容 |
|---|---|
| Java%20基础与开发 | 代审环境搭建、基础语法、Servlet%20/%20过滤器%20/%20监听器%20/%20拦截器、JSP、Spring/SpringMVC、SpringBoot/SpringCloud、分层思想与%20MVC、文件操作、数据库操作、反射、网络请求、序列化基础、RMI、JNDI。 |
| JavaWeb%20漏洞专项实战 | SQL%20注入、文件上传、文件读取与下载、目录穿越、SSRF、XXE、SpEL%20注入、Freemarker/Thymeleaf/Velocity%20模板注入、Fastjson、Log4j2、命令执行等，原理与代码审计方法。 |
| 企业级项目实战 | RBAC、迷你天猫、新蜂商城、Halo、若依、OFCMS、华夏%20ERP、铭飞%20CMS%20等真实系统，完整演练从了解系统到挖掘漏洞的全过程 |
| 反序列化与利用链 | 序列化机制、反序列化知识点，及CC1/CC3%20等各利用链精讲。 |
| 内存马攻防 | Tomcat%20架构与请求处理流程，Servlet/Filter/Listener/Controller/Interceptor/Valve%20等各类内存马的实现、检测与防御 |
| 框架漏洞与%20CVE%20源码分析 | 若干，历史CVE漏洞分析。 |
| 静态分析工具链 | CodeQL、Fortify%20等主流静态分析工具的实战使用，以及自动化审计思路 |
部分Java安全视频截图
往期更新内容详细介绍，可点击下方链接。
本模块为当前持续更新的重点，规划 10%20大方向、50+%20课时，采用%20“原理录播%20+%20实战直播带练”%20的方式推进，内容随技术发展只增不减。目标是带学员完成一个能够自主运行的代码审计智能体。（目前正在火热更新中......）
- 大模型底层知识
理解%20Transformer、自注意力机制、代码分词与嵌入，掌握温度、Top-p%20等解码策略对审计结果确定性的影响，学会评估%20AI%20审计工具的精确率与召回率，从底层告别黑箱使用。
2.%20漏洞检测模型训练
理解预训练任务如何让模型学会%20Java%20语义，基于%20CodeBERT/GraphCodeBERT%20微调漏洞分类器，掌握数据增强、模型量化与%20ONNX%20本地部署，构建自己的漏洞检测引擎。
3.%20攻防提示工程实战
建立审计专用提示模板库，运用思维链推演%20“输入源%20→%20数据流%20→%20危险函数”，掌握强制结构化输出、少样本示例与防幻觉策略，让模型稳定输出带行号的漏洞分析与修复建议。
4.%20RAG%20安全知识库
掌握文档切片、嵌入模型选型与向量检索，将%20OWASP%20指南、CWE%20百科、安全编码规范与漏洞报告向量化存储，搭建检索增强审计链路，让每一次判断都有据可依，抑制模型幻觉。
5.%20MCP%20协议与工具生态
基于%20MCP%20协议实现模型对工具的自动发现与精准调用，掌握工具描述编写与权限控制，构建可扩展、即插即用的代码审计工具生态。
6.%20Skill%20模块化能力封装
将各类漏洞检测能力封装为可插拔%20Skill，明确输入输出%20Schema%20与依赖工具，构建能力注册机制并编写单元测试，保证能力持续迭代而不退化。
7.%20专属代码审计智能体
整合前述技术，实现%20“感知%20→%20规划%20→%20执行%20→%20反思”%20的完整闭环，实践%20ReAct、Plan-Execute%20等规划策略，加入记忆管理与安全沙箱，交付一个能自主遍历项目、调用工具、生成审计报告的%20Agent。
8.%20A2A%20多智能体协同
构建多%20Agent%20协同审计工作流，将信息收集、静态分析、语义审计、报告撰写等任务分配给专用智能体，实现审计过程的自动分工与并行推进。
9.%20顶级%20AI%20攻防项目拆解
逐行拆解业界代表性%20AI%20安全项目的源码与架构，提炼多智能体协作、规则生成、提示模板设计等可复用的设计模式，把高手的思路转化为自己的方法库。
10.%20真实系统综合实战
将整套方法应用于真实%20Java%20系统与课程靶场，完成从项目导入到审计报告导出的全流程验证，并将方法论迁移到任意内部代码库，形成可持续优化的个人审计系统。
跨语言延伸：AI%20阶段穿插%20PHP%20代码审计
在%20AI%20主线更新中，除%20Java%20外还将穿插讲解%20PHP%20代码审计相关知识点。提示工程、RAG、Agent、MCP、Skill%20等核心方法并不绑定单一语言，配合%20PHP%20审计场景的实战穿插，帮助学员把同一套%20AI%20审计方法论迁移到更多语言与场景，全面打造覆盖多语言的%20AI%20代码审计与漏洞研究攻防实战能力。
- 真实项目驱动： 所有练习均基于真实开源、闭源系统，配套源码、安装包与文档，学习过程即实战过程。
- 阶段考核： 各阶段设置动手考核任务，检验学习成果、暴露短板，优秀实践可形成技术文章并获得鼓励。
- 深度指导式学习计划： 学完基础后可申请以%20“输出驱动成长”%20的实战课题，在讲师指导下完成研究、写作与公开讲解，沉淀个人技术品牌。
- 持续答疑： 学习中遇到的技术问题可随时沟通，讲师全程跟进，不把问题留给学员独自死磕。
已全部更新内容
课程设置三个档位，可按自身基础与学习目标选择：
| 档位 | 学习内容 | 费用 |
|---|---|---|
| 档位一 | 《AI%20代码审计与漏洞研究攻防实战》独立模块，含%2010%20大方向与智能体实战，适合只学习本模块的学员 | 488%20元（原价998） |
| 档位二 | 独立模块全部内容%20+%20进阶体系，后续新增内容持续免费跟进，适合有%20Java/PHP%20代码审计基础的学员 | 688%20元（原价1298） |
| 档位三 | 完整版课程，含基础、进阶、AI%20模块及未来全部更新，零基础友好，含手把手带学 | 988%20元（原价1498） |
说明：档位一为独立模块，不含后续迭代更新；档位二、档位三均为一次付费、永久免费，享有后续全部新增内容。
双十一超级特惠，在此基础上还有折扣，仅限十个名额，售完即止。
（报名与否，都可加我，空闲时无偿进行代审学习答疑，力所能及，只为交个朋友。）
报名流程
- 报名缴费： 添加讲师微信，备注 “报名咨询”，完成缴费并锁定学习席位。
- 提交个人情况： 说明 Java/PHP 基础、代码经验与现有安全技能，便于评估当前水平。
- 讲师评估： 根据个人背景判断基础与适合的学习路径。
- 一对一学习规划： 量身定制学习计划，梳理思路、明确目标与路径。
- 发放课程资料： 获取全套课件、配套源码与学习资料，可提前预习。
- 拉入内部群： 进入学员专属交流群，与讲师和同学共同学习、答疑交流。
- 招生人数每期不超过30人，确保该期兄弟们都有收获，只要你有问题，随时找我，不怕麻烦，一起解决！
学员配套福利
教学与服务
- 零基础友好： 无论当前水平如何，只要愿意学，就带你从头走，零基础也能稳步上手。
- 一对一学习指导： 学习中遇到卡点不用独自死磕，讲师一对一答疑，及时帮你理清思路。
- 理论与实战并重： 不纸上谈兵，每个知识点都有真实项目作为实战载体，学完就能落地。
- 内部社群： 配套学员内部社群，与志同道合的伙伴一起讨论问题、分享思路、相互鼓励，一群人走得更远。
课程模式
- 一次付费，永久学习： 课程一次购买长期有效，无需担心过期与续费。
- 迭代式内容更新： 课程是持续生长的，后续每期都会尽可能融合 AI 新玩法、持续探索突破，带来更多思路。
- AI 赋能先行： 不是在 PPT 里加几行工具介绍，而是把 AI 作为一条知识主线，LLM、MCP、RAG、Agent、Skill 从原理到实战，带你真正把 AI 用起来。
专属赠送与成长支持
- 赠送知识星球： 【炼石计划 @Ai赛博代审之旅】价值 149 元 / 年，直接送你永久免费资格，与两千多位同行者交流成长。
- 赠送系统源码： 花费上千元收集整理的多套真实系统源码，涵盖各类企业级应用场景，帮你搭建自己的审计实验环境，也为个人 RAG 知识库提供素材。
- 赠送审计文档资料： 持续收集的代码审计文档、漏洞分析报告与 CVE 资料，助力你打造专属 RAG 知识库，让 AI 工具真正懂你的领域与需求。
- 助力打造个人 IP： 提供专业指导，协助你从零打造个人技术 IP，输出学习心得与技术干货，提升品牌影响力。
- 面试指导： 提供简历优化、面试技巧等职业发展建议，帮你在职场走得更顺。
- 深度指导与实战机会： 已完成学习的兄弟可参与代码审计项目。
其他说明
- 本期设有报名彩蛋，具体优惠与升档规则可添加微信私信了解。
- 学生学员可凭有效身份享受优惠价格。
- 支持支付宝、微信及信用卡等支付方式。
- 课程为虚拟内容服务，报名后不支持退款；如因课程本身产生问题，可沟通解决。
报名与咨询： 添加微信 Power\_7089（讲师：润霖），备注 “报名咨询”，即可获取完整课程介绍与本期详细规则。
师资介绍
主讲讲师：润霖
闪石星曜 CyberSecurity 负责人，长期专注 Java/PHP 代码审计与 AI 安全攻防，具备从漏洞挖掘、代码审计到企业级项目落地的一线实战经验。
- 漏洞成果： 手握多个 CNVD 严重漏洞， CNNVD 严重漏洞等。
- 项目经历： 参与过多个企业级项目代码审计，覆盖多种业务场景与技术栈，有着丰富的代码审计实战经验。
- 主讲方向： Java/PHP 代码审计、反序列化利用链、内存马攻防、框架漏洞分析、AI 代码审计智能体。
评论