AI能挖洞了,安全从业者靠什么吃饭?

过去一年，安全圈有个变化很多人没注到。

不少企业开始缩减初级运营岗位，将预算转向AI安全平台，配置少量高级分析师。结果是一名资深专家配合AI工具，产出超过以往一个小组。基础告警审核、日常报告、威胁研判，这些占日常80%的活，AI已经能干，而且响应更快、准确率更高。

在渗透测试领域，AI自动化扫描工具的速度和覆盖面，同样在快速追平人力。基础代码审计，AI输出已不亚于初级工程师；标准化渗透测试，AI已能承担大部分工作。过去靠两年积累的挖洞手感、Payload字典、绕过技巧构成的专业壁垒，正在被消解。

信号很清晰：AI并非挤占少数岗位，而是在系统性地重塑整个执行层。

那么，渗透测试人员的核心价值在哪？以下几个维度，短期内AI难以企及。

对业务逻辑的深度理解

AI能识别SQL注入、XSS等特征明确的漏洞，却难以理解业务逻辑缺陷。越权访问、支付篡改、流程绕过，无法靠特征库匹配，必须深入理解业务的设计意图、资金流转路径和权限控制节点。

例如电商优惠券功能，AI扫描百次也难发现问题。但资深渗透人员会思考：将商品加入购物车领券后，替换为低价商品，券是否仍可用？若能，则存在逻辑缺陷。这种敏感度源于长期在多元业务场景中的积累，形成的直觉目前难以用特征库训练复制。

突破常规的攻击路径设计

AI强在有规则可循的领域。红蓝对抗中，蓝队防御越来越依赖AI自动化，但攻击路径若完全偏离常规，AI响应往往滞后。传统攻击链是外网突破、提权、横向移动，AI对此检测已成熟。若攻击者通过钓鱼邮件直接进入数据外泄，跳过常规步骤，AI的告警关联可能无法衔接。

这不意味AI无法检测异常，而是其模型高度依赖历史数据。攻击者能创造新模式之外的路径，价值就凸显了。渗透的本质是对抗，对抗需要想象力，至少目前想象力仍是AI的短板。

将技术漏洞转化为业务风险

发现漏洞后怎么写报告？是“发现SQL注入一处，建议修复”，还是“通过该漏洞可获取核心用户数据，按个保法测算合规风险约XX万，建议本周内修复”？前者业务部门无感，后者管理层立即重视。

AI能辅助发现漏洞，但不了解公司的业务重点、组织架构和决策流程。你清楚管理层最关注什么、哪些是核心系统、各部门协作特点，这些基于实际工作场景的认知，AI无法获得。

理解不同角色的关切点

安全工作的对象不是铁板一块。技术总监关心架构隐患和应急响应效率，业务负责人关心上线进度是否被卡，高管关心合规风险和经济损失。同一风险需不同沟通策略，这需要准确理解每个角色的职责和核心关切。AI能生成标准化报告，但无法感知沟通对象的身份和立场。

建立专业信任

技术能力不等同于客户信任。现实中不乏技术出众的专家，客户却不愿交付核心项目，原因往往在于“可靠性”——承诺周三交付就如期完成，出问题不躲、主动跟进，客户紧急需求能及时响应，承诺事项无论大小均能兑现。

这些与技术无关，却是信任的基石。客户表面采购技术，本质购买安心。技术再强，合作让人提心吊胆，下次就换人；技术并非顶尖但每次都能兜住，客户就放心。责任心、响应速度、信守承诺，AI无法替代。

IT领域已印证一个规律：最先受冲击的不是能力最弱的，而是“仅会执行”的。

基础程序员正被Cursor、Copilot替代，架构师依然稳固，因为架构师决定代码方向，AI只是将设计转化为代码。安全行业同理，AI替代执行层，释放出判断层与决策层。哪些人能填补？

第一，善于驾驭AI的人。AI输出的结果，你敢直接采用吗？很多人提问后直接采纳答案，这是被AI主导。应审视AI的判断依据、是否有遗漏、与公司业务场景是否匹配。价值不在与AI比速度，而在指挥AI产出对的东西。

第二，能连接安全与业务的人。过去技术过硬即可，现在AI接管大量执行任务，仅会执行风险确实存在。业务方要上线新功能，你不必用术语解释风险，而是告知业务层面的潜在损失。反过来能评估风险，还能提出兼顾安全与效率的方案。最值钱的安全专家，不是限制业务，是告诉业务方“你想实现的目标，我有办法确保安全达成”。

第三，能快速适应新技术的人。Web安全之后是移动安全、云安全、数据安全，现在是大模型安全和AI Agent安全。固守单一领域空间受限。关键在于快速理解新技术的核心逻辑：大模型无需深研数学原理，但需了解工作机制和攻击面；云安全不必考所有认证，但需理解架构差异和权限模型。掌握认知后借助AI放大能力——将逻辑描述给AI，它能生成用例、写脚本、做验证。能力边界由此扩展。

AI提供工具，你定位问题。IT领域成功转型的人，大多先感知变化，花数天理解新逻辑，借助AI放大能力，结合业务场景打出组合拳。

总结而言。 AI在代码和标准化渗透测试方面有优势，但在业务理解、攻击路径设计、人际沟通、信任积累上仍有明显局限。能驾驭AI工具、连接安全与业务、快速适应新领域、理解客户并建立信任的从业者，将在AI时代获得更稳固的位置。反之，日常工作仅限于机械执行的，确实需要重新审视自身定位。

与各位同行共勉。