有关ai时代漏洞挖掘的探讨

Z2O安全攻防

2026年10月18日 20:36
北京

去阅读

以下文章来源于迪哥讲事
，作者richardo1o1

迪哥讲事
.

作者主页: https://github.com/richard1230

ai时代的漏洞挖掘的探讨

好久没发文了，正好前几天看了看Critical Thinking的最近的播客，结合最近的一些实践，对于ai时代漏洞挖掘有了一些思考

下面梳理出最近两期Critical Thinking的一些观点：（其实大体上也是和我所想的差不多，相对而言比较理性）

1.今年(2026)剩下的时间，很多厂商的预算会比较紧张,原因很简单:今年ai的爆发让漏洞提交的数量暴涨，预算用的比想象中的要快，所剩的自然而然比较紧张了

2.常见的简单的漏洞将会逐渐消失,原因很简单,厂商(这里所说的厂商是有充足安全预算的大厂)内部也可以使用ai最新的相关技术来发现这些漏洞和问题

3.除去ai发现的漏洞,剩余的漏洞要么极难发现，要么极其严重，这将会导致明年/后年赏金会上涨

4.从白帽子的角度来讲,以后整体发现的漏洞的数量会大大减少(2026年可能是最多的一年)，但是真正重视安全的公司会继续加大投入资金

5.从白帽子的角度来讲,你要想获得赏金，你就必须深入挖掘研究和分析。

知名白帽子Frans Rosen也提出了自己的一些看法:以后他会更加倾向于提交经过深入研究的一些高危严重漏洞，播客中他提到宁愿每个礼拜交一两个高质量漏洞也不愿意提交多个简单的垃圾漏洞(这种漏洞很容易重复或者说内部已知)

启发

他们的这些观点给我们的启发是什么?

现在有两种声音:

一种是直接使用ai来挖,很多初学者连基本功都不好好夯实了,这种人我奉劝你赶紧改行吧，说实话，你花的token钱可能都回不了本。

还有一种是直接放弃了，感觉挖漏洞这种事基本会被ai替代了，直接转行

个人感觉两种想法都太极端,夯实自己的基本功是最重要的,再此基础之上深入研究自己感兴趣的方向,挖出ai挖不到的漏洞

怎么做

如果你经济拮据，你就自己网上搜资料视频自学，没人带无非就是自己多花点时间而已。经济稍微宽裕一点,可以考虑报班。