文章总结： 本文作者棉花糖分享2026年7月使用AI挖掘SRC漏洞获得22万赏金的经验。核心观点是使用顶级AI模型（如GPT）比优化提示词更重要；工具应选择模型自带的agent而非第三方项目；挖洞要选择容易的目标（软柿子）而非硬骨头；AI培训意义不大，关键在于个人思维。最后推广其网络安全资源站。 综合评分： 79 文章分类： SRC活动,实战经验,AI安全,渗透测试

七月，我用AI挖了22万赏金，我想给你一点建议

当年浪安全

2026年8月18日 14:56 上海

在小说阅读器读本章

去阅读

编者荐语：

mht实战干货，兄弟们好好学吧

以下文章来源于棉花糖fans ，作者棉花糖糖糖

棉花糖fans .

这里是网安棉花糖，网络安全最大资源站：bdziyi.com 的站长，期待和你交个朋友哦

大家好，这里是棉花糖，一个四年网安自由职业者，bdziyi.com的站长。

七月， 我用AI挖了22万赏金。

我今天想把这两个月以来，用AI的经验、想法，分享给大家。

首先是很多师傅问的问题：用什么AI，选择什么工具。

我这半年来，市面上除了A畜以外第一梯队、接近第一梯队的AI全部开了会员或充值余额，包括两个gpt pro 20x （过cyber）、两个grok heavy、gemini pro、kimi 699会员年费、glm v1版本pro 年费、deepseek 充值余额+opencode go、GPT中转站也充值了5000+，甚至还买了阿里token plan、minimax。

用了这么多AI，如果要我推荐你挑一个AI，我会说：

不用挑，直接看排行榜，越靠前越值得用，越追求以小博大，越浪费钱、token、时间。

可以参考AA Intelligence Index、Terminal Bench 2.0等榜单。

能用多好，就用多好，我用的最多的是GPT，其余那些乱七八糟的国模用于写一些深入exp。

用好的AI比用好AI，更重要。

模型是一切的底座，所有上层工具、实际应用，都要建立在模型之上，模型本身能力不足，去做agent优化、提示词工程等等，无异于在屎上雕花。

agent这块也没有任何挑选的必要，使用的是哪家模型，就用哪家提供的agent，比如GPT有codex，a畜有claude code，deepseek现在也有了dsh，kimi有kimi code等等。

因为各家模型在测试、训练、跑分的时候都会有自家agent的参与，毕竟谁不想更适配自家agent一点呢，情有可原对吧，在实际测试中，同样的环境、目标、提示词，他们自家agent往往比别家、github乱七八糟项目，产出更高。

说到github项目，真是鱼龙混杂……普通用户很难挑选，AI写的眼花缭乱的仪表盘是真迷惑人，实际干活狗屁不是，我建议干脆不挑，连尝试都没必要去尝试，因为如果真有好的设计，模型商自然会去github抄的…..

工具这一块我还想再多说一点。

攻防和挖SRC不同，不能把攻防的扫描器用来挖SRC，我注意到很多开源挖洞项目其实都是传统扫描器套一层AI的皮，攻防也许有效，SRC大概率没什么用，好看的仪表盘不是工具的重要因素。

至于Skills这种东西呢，挖SRC的话只适用于你有独特的业务理解，非常有针对性，才适合加入，否则仅靠提示词即可完成绝大部分需求，模型的能力比你想的要强得多。

总而言之，你只管烧token，AI大人会给你意想不到的收获，切记不要把AI大人的功劳记在那莫名其妙的垃圾工具上。

除了AI、工具，挖洞最重要的，是要选对目标。

柿子还得挑软的捏。

从硬骨头里面捞一百个，不如从软柿子里面捡到一个。

盯着钱多的、别人挖不到的、不敢相信AI能挖的业务去挖。

以前没有AI，很多业务自己没有能力挖，现在你都可以大胆发挥想象，搏一个可能性。

这半年以来，我看到不少白帽都搏得很成功。

单洞十万、单月20万，并不在少数。

哪怕你不挖SRC，我也建议你跟上时代。

跟上时代的要求并不是要你精通AI。

你只需要了解各家模型的特性，能力边界，最好的了解方法，就是用用看。

还有AI挖洞培训这一块我也想说两句。

没意义。

AI大人没来之前，报培训学挖洞，AI大人来了，报培训学AI挖洞。

那AI大人不是白来了吗。

AI让我们拥有和一线技术牛比肩的技术能力，我们要拼的只剩下思维。

思维这种东西，培训是教不了的。

更何况其中还充斥着滥竽充数的培训，套一层AI的壳，实际上讲工具使用的培训真是一言难尽。

好了暂时就说到这里吧，今年结束之后如果还有新的想法我会再给大家分享，感谢你看到这里，也希望内容能对你有所帮助。

如果您对内网靶场、SRC靶场、WEB靶场、应急响应靶场、网安方案、资料文档、各种各样的网安工具、实用的在线功能、教程资源感兴趣，欢迎看看我的网站广告，包您心动：棉花糖会员站介绍(26年4月26日版本) ：在线内网靶场、网安资料方案、在线工具全能资源站

网络安全交流群请在公众号菜单栏点击找棉花糖，加棉花糖好友后发送“棉花糖fans”，邀请您进群，CISP全系列、国内外网安考证也可以在公众号菜单栏点击找棉花糖，微信联系哦，爱你😘，下篇文章再见

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：当年浪安全 《七月，我用AI挖了22万赏金，我想给你一点建议》