文章总结： 本文探讨生成式AI如何降低攻击门槛，使初级黑客能借助AI补足经验，完成过去需资深专家才能执行的攻击链。文章指出防守方应放弃对手稀缺假设，转向持续威胁暴露面管理(CTEM)等策略，通过持续验证而非定期扫描来应对更频繁、更快速的攻击。同时强调自动化时代资深安全专家的判断力将更显珍贵。 综合评分： 84 文章分类： AI安全,红队,实战经验,安全建设,威胁情报

Vibe Hacking风起云涌：安全圈的门槛正在塌方？

原创

欢迎关注→ 欢迎关注→

安全客

2026年8月5日 12:31 北京

在小说阅读器读本章

去阅读

过去二十年，安全圈有个心照不宣的排序。

国家级黑客坐在顶端，犯罪团伙紧随其后，那些只会跑现成工具、连报错都看不懂的”脚本小子”被丢在最底层——没人真把他们当回事。

这个排序有个潜台词：攻击能力，跟着技术水平走。你不懂逆向、写不出漏洞利用，就别想打出像样的入侵。

这个假设，正在被生成式 AI 拆掉。

01

那个”初级黑客”，对手等了很久

把这件事说透，其实只需要一句话：AI 不会让一个什么都不懂的人瞬间变成顶尖威胁，但它能帮他把”不懂”的部分，一点点补上。

查资料、解释陌生概念、生成代码、排错、把已知手法套到新环境——这些过去要靠几年经验堆出来的活儿，现在靠对话就能推进。一个没什么实战经验的年轻人，可能几周内就跑通了过去只有老手才玩得转的攻击链。

对手梦寐以求的，从来不是什么超级 AI。是一个价格便宜、永不疲倦、随叫随到的”初级黑客”。现在它来了。

02

安全知识的成本，被砍到了地板价

每一轮技术浪潮，先改变的是经济账。

云计算压低了搭基础设施的成本，开源软件压低了写应用的成本。到了大模型，被压低的是——进攻性安全知识的成本。

一个攻击者，从前要花好几周才能吃透某个新披露的漏洞：读文档、理解利用原理、确认波及的技术栈。现在他可以把这些活儿一股脑丢给 AI，几分钟拿到一份原型代码。

得说句公道话，泼盆冷水：这不等于 AI 能独立发现精巧的攻击链，也不等于它取代了老手。复杂的入侵依然需要人的判断、创造力和耐心。真正改变的是”要具备多少能力，才能开始动手”——以及，能动手的人，一下子变多了。

03

“氛围黑客”：当攻击也开始 vibe coding

“脚本小子”这个词，已经装不下正在发生的事。

今天冒头的攻击者，更像是在跟一个 AI 助手结对干活：反复提问、打磨 payoad、调试代码、把现成手法改造成适配目标环境的版本。这股劲儿，跟开发者嘴里那句”vibe coding”（氛围编程）一模一样——用自然语言，取代写代码时大部分的手工劳动。

进攻性安全，正在走同一条路。有人管它叫”氛围黑客”：你只管说意图，AI 帮你把它翻译成真正能落地的攻击动作。

这个标签能不能流行不重要。重要的是它点破的那层：专业能力，正在变成一种可以按需取用的东西。

04

防守，不能再指望”对手稀缺”

很多企业的安全体系，背后都藏着一个没说出口的假设：真正厉害的攻击者，是稀缺的。

所以只要把顶尖威胁防住，剩下的”低级玩家”翻不起浪。

这个假设，今天该重估了。

如果 AI 让更多人能完成过去必须靠专业经验才能做的进攻活儿，防守方就该预期三件事：更多的试探、更快的适配、更高的攻击量。问题不再是”对手有没有高技术”——而是你的防线，在对手变得更擅长侦察、更擅长改造利用、更擅长定制 payload 之后，能不能持续证明自己还撑得住。

05

从”发现了什么”到”这还扛得住吗”

坦白讲，大多数企业并不缺可见性。

漏洞在跟踪，云配置在监控，终端、身份、第三方风险都有人盯着，攻击面管理工具堆了几十年。知道”有什么”从来不是瓶颈。

真正的瓶颈是另一句话：在对手找到之前，你知不知道哪些弱点真的要命。

AI 把”漏洞披露”到”被利用”之间的窗口压得越来越短，一年两次的渗透测试、例行扫描，单独看已经不够用了。你需要的是持续的证据——关键攻击路径是不是还关着、补偿性控制是不是还在生效、安全预算是不是真在压低可被利用的风险，而不是只产出了更多”发现”。

这背后就是 CTEM（持续威胁暴露面管理）的逻辑：发现、排序、验证、行动，转成一个不停的循环，而不是一张定格的快照。而把”验证”这步真正落地的，是 AEV（对抗性暴露面验证）和 PTaaS（渗透测试即服务）——它们测的，正是 AI 辅助攻击者会去试的那条路、会在那个时间点去试。

说到底，它把问题从”我们找到了什么”，换成了”这还扛得住吗”。

06

越自动化，人越值钱

有意思的是，AI 的普及，反而可能让资深安全专家更值钱。

自动化擅长处理信息、生成可能性、加速分析。但判断一个漏洞到底意味着多大的业务风险，至今还是人的活儿。它需要对运行依赖、业务优先级、攻击者意图和组织上下文的理解——这些，模型没有。

把这件事做对的组织，会让人的专长被放大，而不是被替代。

结语

攻击者正在用 AI，补上自己缺的经验。

那你呢？

END

推荐阅读

白帽子的匿名时代，正在终结——HackerOne强制身份验证这件事

2026-08-03

纳米Work企业版正式启动全国各级渠道城市合伙人招募

2026-08-01

Anthropic 的 Claude 在测试期间攻破 3 家组织，并向 PyPI 上传了恶意软件

2026-07-31

新一轮银狐攻击_管控终端再成控制工具

2026-07-30

OpenAI开源Codex Security CLI：用于发现、验证和修复安全漏洞

2026-07-29

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安全客 欢迎关注→ 欢迎关注→《Vibe Hacking风起云涌：安全圈的门槛正在塌方？》