AI赋能网络安全手记

前言

  之所以写这篇文章是因为最近不仅是我个人，整个网络安全圈子都有很多人在研究AI赋能网络安全，比较热门的就是AI渗透测试以及AI代码审计，这两个方面我也都有研究。

  下面就是我个人近期对于AI赋能网络安全的所有实践成果与总结，不过在开始之前我想说说我的看法，AI agent可以让人们从重复且繁重的任务中解放出来，但是并不能也不可以完全主导一件任务的完成，一定要有人类兜底，人类主导大致方向与关键事务决断，AI agent负责执行具体事务与知识补充，两者结合可极大提升任务完成速度与精准度，但全权交予AI agent在现阶段来看就是事倍功半，返工率会大大提升，而且极易发生事故。

实践成果与总结

  首当其冲的就是AI渗透测试，这个现在有很多方案，有用Claude code的，用Codex的，还有把Hermes装到kali里面的，我这里用的是

Trae+Mcp+deepseekV4pro+skill+智能体，我由于工作的原因大部分都是国产的，个人用的话用Gpt5.5或者opus 4.8在模型层面上对于一些复杂的问题解决起来肯定是更快且高效的，但是日常来说一些简单的工作像api接口收集、未授权访问测试这些工作用deepseekV4pro或者GLM5.1感觉也还行，Mcp我用的主要是chrome mcp

、yakit mcp这两个，或者用burp mcp也可以。

  如上图所示，具体过程我就不细说了，网上很多而且很简单，就是一个工程学的思路，这里还可以注意到有一个安全渗透测试专家的智能体，在这里的作用我认为是实现自动执行任务，还有一个原因是绕过道德限制，不然模型可能会拒绝为你进行渗透测试，这里的提示词也是网上找的，大家也可以找适合自己的并按情况修改。

  此外配置skill也是一个很重要的东西，GitHub也有比较好的渗透测试skill，有了对应的skill智能体在渗透测试的时候就会更加聪明，下面就是我常用的渗透测试跟代码审计的skill。

  以上就是我平时使用AI辅助工作的整个框架，搭建起来非常简单，所以我主要是想说一下感想与总结，很多小白来用没有网络安全相关的专业知识跟工作经验，他们不会提问不知道问什么，可能会笼统的说一句帮我对这个站点或者app进行渗透测试，这时候得到的东西很可能没有用，但是小白又因为没有相关知识与经验不能判断结果的可用性，这时候就引出了我对于现阶段AI赋能网络安全的总结，提问的艺术以及判断力。

  首先提问的艺术，现阶段的大语言模型本质上就是基于海量数据训练来预测下一个token的输出，所以我不认为大语言模型能真正理解一个词，比如苹果这个词，AI没有嗅觉触觉味觉等，苹果在AI眼中就是一小段高维向量，给不了你它对于苹果这个东西的感受与体会，所以这里提问的艺术尤为重要，最好提问一些基于事实的知识性的问题，并且要描述够清晰，比如你说我的邮箱太大了，帮我清理一下，到底是垃圾邮件太多，还是所有的邮件太占内存，所以提问也要基于专业知识把问题表述清晰。我在渗透过程中提问，会先给出一个整体的框架，再根据专业知识跟经验打磨一下具体的细节，现在的deepseek上下文窗口有一百万token，所以在后续的对话中可以根据前面的回答不断调整方向，这样得出来的结果我认为可用性大大增加。

  其次是判断力，这是对于结果精确性的把控，AI毕竟是一个黑盒的过程，生成出来的东西一定要人来审核，依托人的专业知识能力，对于结果进行挑选以及剔除，此外skill投毒以及中转站投毒都是很常见的攻击手法了，审核显得更加重要，有人说用AI来审核不就行了，我认为这是一个悖论，本身就是一个信任问题，用AI来审核那就说明你还是信任AI，不过在大量的数据审核下可以先向AI在你指定的规则下进行处理，然后输出的报告你再审核，可以减少重复的工作。

  下面就是一些其他的AI使用，比如Claude code由于账号容易被封，买中转站的apikey又有掺水跟投毒的风险，我就用CC switch给接上了国产模型deepseek，用这个渗透也是同样的思路接上mcp，装上skill，然后绕过道德，还有后面的codex，都是同样的思路。

  然后是Codex，它有一个很有用的功能插件，就是将特定的功能、工作流、技能（Skill）和外部工具连接（MCP）打包在一起，相当于是面向用户的功能封装。

  最后是AI在我日常的一些使用，我之前有一台闲置的腾讯云，前段时间我在上面装了Hermes，然后接到了微信上，装上常用的skill接上模型后，我就让它在工作日定时发送安全技术文章，目前来说效果还不错，还可以根据自己的偏好让它慢慢调整，此外我还给它接上了高德地图的key有装上了相关的skill，出去玩的时候不想一点点收集数据对比，我就直接让AI干了，也是很方便。

  总的来说，写这篇文章就是想分享一下使用AI辅助的方方面面，以及一些方法心得，使用AI与自身专业领域结合一定是未来趋势，充分利用AI使自己成为复合型人才方能跟上时代的步伐。

免责声明

  本公众号“N3xus”提供的资源仅供学习，如有侵权烦请告知，我会立刻删除并致歉，谢谢！另外利⽤本公众号“N3xus”所提供的信息而造成的任何直接或者间接的后果及损失，均由使⽤者本⼈负责，本公众号“N3xus”及作者不为此承担任何责任，一旦造成后果请自行承担责任！！！