七月，我用AI挖了22万赏金，我想给你一点建议

当年浪安全

2026年8月18日 14:56
上海

在小说阅读器读本章

去阅读

编者荐语：

mht实战干货，兄弟们好好学吧

以下文章来源于棉花糖fans
，作者棉花糖糖糖

棉花糖fans
.

这里是网安棉花糖，网络安全最大资源站：bdziyi.com 的站长，期待和你交个朋友哦

大家好，这里是棉花糖，一个四年网安自由职业者，bdziyi.com的站长。

七月， 我用AI挖了22万赏金。

我今天想把这两个月以来，用AI的经验、想法，分享给大家。

首先是很多师傅问的问题：用什么AI，选择什么工具。

我这半年来，市面上除了A畜以外第一梯队、接近第一梯队的AI全部开了会员或充值余额，包括两个gpt pro 20x （过cyber）、两个grok heavy、gemini pro、kimi 699会员年费、glm v1版本pro 年费、deepseek 充值余额+opencode go、GPT中转站也充值了5000+，甚至还买了阿里token plan、minimax。

用了这么多AI，如果要我推荐你挑一个AI，我会说：

不用挑，直接看排行榜，越靠前越值得用，越追求以小博大，越浪费钱、token、时间。

可以参考AA Intelligence Index、Terminal Bench 2.0等榜单。

能用多好，就用多好，我用的最多的是GPT，其余那些乱七八糟的国模用于写一些深入exp。

用好的AI比用好AI，更重要。

模型是一切的底座，所有上层工具、实际应用，都要建立在模型之上，模型本身能力不足，去做agent优化、提示词工程等等，无异于在屎上雕花。

agent这块也没有任何挑选的必要，使用的是哪家模型，就用哪家提供的agent，比如GPT有codex，a畜有claude code，deepseek现在也有了dsh，kimi有kimi code等等。

因为各家模型在测试、训练、跑分的时候都会有自家agent的参与，毕竟谁不想更适配自家agent一点呢，情有可原对吧，在实际测试中，同样的环境、目标、提示词，他们自家agent往往比别家、github乱七八糟项目，产出更高。

说到github项目，真是鱼龙混杂......普通用户很难挑选，AI写的眼花缭乱的仪表盘是真迷惑人，实际干活狗屁不是，我建议干脆不挑，连尝试都没必要去尝试，因为如果真有好的设计，模型商自然会去github抄的.....

工具这一块我还想再多说一点。

攻防和挖SRC不同，不能把攻防的扫描器用来挖SRC，我注意到很多开源挖洞项目其实都是传统扫描器套一层AI的皮，攻防也许有效，SRC大概率没什么用，好看的仪表盘不是工具的重要因素。

至于Skills这种东西呢，挖SRC的话只适用于你有独特的业务理解，非常有针对性，才适合加入，否则仅靠提示词即可完成绝大部分需求，模型的能力比你想的要强得多。

总而言之，你只管烧token，AI大人会给你意想不到的收获，切记不要把AI大人的功劳记在那莫名其妙的垃圾工具上。

除了AI、工具，挖洞最重要的，是要选对目标。

柿子还得挑软的捏。

从硬骨头里面捞一百个，不如从软柿子里面捡到一个。

盯着钱多的、别人挖不到的、不敢相信AI能挖的业务去挖。

以前没有AI，很多业务自己没有能力挖，现在你都可以大胆发挥想象，搏一个可能性。

这半年以来，我看到不少白帽都搏得很成功。

单洞十万、单月20万，并不在少数。

哪怕你不挖SRC，我也建议你跟上时代。

跟上时代的要求并不是要你精通AI。

你只需要了解各家模型的特性，能力边界，最好的了解方法，就是用用看。

还有AI挖洞培训这一块我也想说两句。

没意义。

AI大人没来之前，报培训学挖洞，AI大人来了，报培训学AI挖洞。

那AI大人不是白来了吗。

AI让我们拥有和一线技术牛比肩的技术能力，我们要拼的只剩下思维。

思维这种东西，培训是教不了的。

更何况其中还充斥着滥竽充数的培训，套一层AI的壳，实际上讲工具使用的培训真是一言难尽。

好了暂时就说到这里吧，今年结束之后如果还有新的想法我会再给大家分享，感谢你看到这里，也希望内容能对你有所帮助。

如果您对内网靶场、SRC靶场、WEB靶场、应急响应靶场、网安方案、资料文档、各种各样的网安工具、实用的在线功能、教程资源感兴趣，欢迎看看我的网站广告，包您心动：棉花糖会员站介绍(26年4月26日版本) ：在线内网靶场、网安资料方案、在线工具全能资源站

网络安全交流群请在公众号菜单栏点击找棉花糖，加棉花糖好友后发送“棉花糖fans”，邀请您进群，CISP全系列、国内外网安考证也可以在公众号菜单栏点击找棉花糖，微信联系哦，爱你😘，下篇文章再见