AI时代下，网安生该怎么学

原创

小胖快学网络安全
小胖快学网络安全

小胖快学网络安全吧

2026年10月20日 20:30
湖北

去阅读

Python要不要学？传统漏洞还练不练？大模型、知识库、智能体，是不是都得会？

网安生现在不缺学习清单，缺的是一张有先后、有取舍的路线图。

先给结论：安全基础继续练，AI应用补到能做出并验证一个项目，专业方向只选一条深入。 不用人人都去训练大模型，也不能把“会问AI”当成学会了AI安全。

下面把这三部分拆开，说清楚学什么、练什么，以及怎样检查自己有没有学会。

01 安全基础，不是背完名词，而是能解释问题

先围绕一个“用户登录后查看资料”的小系统，把三组能力练起来。

网络与系统：知道请求怎么走，故障去哪里查。

看懂HTTP请求和响应、Cookie与会话；知道DNS、TLS分别解决什么问题；能在Linux里查看进程、端口、权限和日志。

练习时，把服务停掉、改错配置，再自己找原因。能查资料，但别只会重装。

编程与工程：能把重复操作写成程序。

先掌握一门语言。Python适合做入门脚本，但不是所有岗位都只用Python。把文件读写、数据处理、接口调用和异常处理练熟，补上基本SQL查询、Git版本管理和测试。

过关标准：换一个输入文件，程序仍能运行；出错时，你知道哪里失败，而不是只能重新让AI生成一遍。

安全原理：知道漏洞为什么成立、修复为什么有效。

在授权靶场里选访问控制缺陷、SQL注入、XSS等常见问题练习。每次不仅要复现，还要找到缺陷位置、解释影响，再验证修复。

比如越权：换一个资料编号能看到别人的内容，问题不只是“参数可修改”，而是服务端没有检查当前用户是否有权访问。

能把请求、代码、权限和结果连起来，基础才开始变成解决问题的能力。

02 补AI，先弄懂三个环节，不必先追一堆框架

第一，模型调用：程序怎样把任务交出去，再接回结果。

学会用接口发送任务，组织上下文，理解上下文长度限制，并让结果按约定格式返回。模型可能答错，程序也可能遇到超时、限流或格式异常。

做一个小练习：读取模拟告警，让模型返回“摘要、依据、待核查项”，再由程序检查字段。格式正确，不代表结论正确，两件事要分别测。

第二，知识库检索，也就是RAG：先找资料，再据此回答。

它不是把文件上传后就永远学会，而是在回答时，把相关内容检索出来，作为上下文交给模型。

重点学资料怎么整理、怎么切分、怎么检索、怎么标注来源。先跑通简单检索，再了解向量检索，不必一开始就搭复杂平台。

过关标准：答错时，你能分清是资料没有、检索没找到，还是模型理解错了。

第三，工具调用与智能体：模型建议做事，程序怎样控制执行。

智能体可以围绕任务多轮选择工具。重点看工具参数、权限、执行记录、停止条件和失败处理，不要只看它能连续完成几步。

练习时先接只读查询工具，不接任意系统命令。模型提出调用，不代表程序就该无条件执行。

03 共同基础之外，不同方向要学得不一样

下面是学习建议，不是所有企业的统一岗位门槛。选一条与你目标接近的路线，先做深一个项目。

如果还是不知道怎么选，就问自己更愿意长期解决哪类问题：盯告警、找漏洞、写系统，还是做实验。答案往往比岗位名称更可靠。

“用AI做安全”和“保护AI系统”可以有交集，不用硬分阵营。 看目标岗位实际负责什么，再决定补哪块。

例如开发一个AI安全产品，既要会编程，也可能需要理解模型风险；做安全运营，则不能因为接入模型，就跳过规则、证据和处置流程。

04 项目怎样才不只是套了一个模型？用这个例子检查

不管选哪条路线，项目都不能只停在“接通模型”。下面以应用和开发方向为例，做一个“小型安全知识问答助手”，只用自己的学习笔记或允许使用的公开资料。

先写清任务：回答范围是什么，依据哪些文档，哪些问题不该回答。别一开始就宣称“什么安全问题都能问”。

然后做四项检查。

一查回答依据。 准备一组能在资料里找到答案的问题，检查回答是否正确、引用是否真的支持结论。再问资料里没有的问题，观察它会不会编造。

二查访问权限。 在自建环境中设置两个测试用户和各自文档。权限由服务端检查，在检索阶段过滤无权访问的内容，不能只在提示词里写“不要泄露”。

三查资料干扰。 在模拟文档里加入与任务冲突的指令，测试回答是否偏离。一次没出问题，不代表已经解决提示词注入；需要记录测试样本和失败条件。

四查运行失败。 模型超时、检索为空、返回格式错误时，程序怎样提示？调用次数、耗时和费用有没有记录？先不加自动处置功能。

测试表至少写五列：问题、预期行为、实际结果、核对依据、修改记录。

最后和直接询问模型、或只做检索的版本比较。知识库到底改善了什么？增加了哪些失败环节？没测过，就不要写“准确率99%”。

真正值得讲的，不只是“我做出了一个助手”，而是“我知道它在哪些条件下可靠、哪些情况下不能用”。

05 学习顺序怎么排？先走通，再补深

如果基础薄，先把登录小系统、一个漏洞的修复、一个文件处理脚本做明白。AI可以帮你解释和排错，但你要能复查。

有了基础，再接一次模型调用，做简单检索，理解工具怎样被程序执行和限制。

随后选方向：运营补证据与规则，攻防补漏洞链与修复，开发补工程与测试，研究补数学与实验。别要求自己同时走完四条路。

暂时不用急着做三件事：追遍所有框架；为了“跟上AI”从头训练大模型；没确定目标，就先囤课程和证书。

学习资源也不用列几十个。传统Web与AI应用安全，可从PortSwigger学习路径和Web LLM课程选对应实验；再用OWASP风险清单检查自己漏掉了什么。

所有安全测试都在自建或明确授权的环境里进行；真实客户数据、个人信息、口令和密钥，不拿来做外部模型练习。

网安生学AI，先让它进入你会做的任务，再学会把任务做成可靠的工具。基础、方向和验证，缺哪块就补哪块。

如果你准备今晚开始，先做一件小事：选定一个方向，写下一个具体任务，以及你打算怎么检查结果。

任务能写清，学习才有了落点。

对自己的AI安全水平不清楚，快来免费摸底（长按二维码访问）

知识星球有大量AI资料可以学习

星球介绍

一个人走的很快，但一群人才能地的更远。吉祥同学学安全这个星球🔗成立了2年左右，已经有600+的小伙伴了，如果你是网络安全的学生、想转行网络安全行业、需要网安相关的方案、ppt，快加入我们吧。系统性的知识库已经有：《Java代码审计》++《Web安全》++《应急响应》++《网安面试指南》++《网安秋招工具箱》