前几天在安全群里看到一条吐槽大意是“现在挖个漏洞是真难平台给的币越来越少审核越来越严动不动就给你标个重复。”底下跟了一串1。我自己的感受其实也差不多——入行那会儿和现在完全就是两个世道。网络安全这个行业表面上还维持着“高薪、紧缺、前景好”的光环但真正在一线干过的人心里都清楚漏洞越来越难挖合规要求越来越多甲方预算越来越紧面试题越出越偏连AI都要跑来抢饭碗。“网络安全越来越不好干”不是矫情是这行正在经历一轮剧烈的分化。这篇文章不打算贩卖焦虑纯粹聊聊我看到的真实变化以及在这种环境下怎么调整自己的打法。1. 不好干的信号从挖洞到沟通环境确实变了1.1 挖洞不再是捡钱SRC平台的规则越来越精细早期做白帽的人应该都有印象那时候很多企业上线系统很粗糙SQL注入、越权、文件上传随手测测就能捞到一批漏洞。SRC安全应急响应中心平台也大方一个中危漏洞几百上千块高危直接四位数提交体验很痛快。现在呢企业SRC的审核标准越来越细重复判定越来越苛刻同一个漏洞可能前脚你刚提交后脚就被标记成已知问题或重复提交。奖励也在缩水一些平台的中危漏洞从原来的800-1000元降到了200-400元高危从几千降到一千上下。这不是平台抠门而是整个行业规则在变化。企业SRC的本质是以相对低的成本获取外部安全情报当提交量爆炸后平台一定会提高准入门槛、压低边际成本。再加上厂商安全团队自身也在变强内部漏洞挖掘能力上来了外部报告的稀缺性下降。简单说过去是信息不对称带来的红利现在这个红利期基本过去了。1.2 漏洞质量的要求陡增光靠扫描器已经混不下去另一个明显变化是低垂的果实已经被摘得差不多了。早年那种扫到一个注入点就直接提交的做法现在几乎必被忽略。企业普遍上了WAF、RASP、云防护常规的自动化探测路径基本被堵死。想挖出有效漏洞你得理解业务逻辑做深度的参数调校甚至要自己写POC去绕过防护这对手法精细度的要求比三年前高了不止一个量级。这里有个容易被忽视的点SRC平台现在更看重危害的完整论证。你光说这里有XSS没用得说明它能不能打到管理后台Cookie能不能蠕虫化传播有没有真实利用链。很多新人栽在报告质量上——漏洞是真的但描述不清楚、危害说不透被审核驳回甚至忽略。这已经不是靠工具跑一圈就能应付的活了。1.3 安全从形象工程变成成本中心厂商心态在变前几年企业上安全多少带点合规形象的意思老板愿意花钱安全团队说话也有分量。但经济周期一转安全预算收缩得非常快。安全不直接产出利润在管理层眼里天然是成本中心。现在很多甲方安全团队就几个人要管几千台服务器、上百个业务系统日常光应付漏洞扫描和基线检查就精疲力尽根本没有精力去深入挖掘自身业务的深层风险。在这种环境下外部白帽提交的漏洞对甲方来说不再是雪中送炭反而可能是又一个要填的坑。处置漏洞的人手不够响应速度自然就慢甚至有些平台长期不审核、不发放奖励这些都是不好干的直接体感来源。2. 合规重保与基线检查安全工程师的另一半焦虑来源2.1 基线检查到底查什么一条清单背后的体力活你以为不好干只是挖洞变难了错还有一大块精力被合规工作吞掉了。网络安全基线检查现在是每个政企单位安全团队的年度必修课。它本质上是拿一份标准清单去核对系统配置是否符合规范包括操作系统账户策略、口令复杂度、访问控制、日志留存策略、补丁更新情况、数据库权限分配、网络设备安全配置等等。实际操作中基线检查最耗时的不是检查本身而是整改。比如一个域控服务器上跑着老旧业务无法直接打补丁但基线要求补丁必须在30天内更新这怎么写整改报告再加一条总部下发的检查表单和集团内部的基线标准有时候还不一致同一个系统按A标准查是合规的按B标准查就是一堆问题。这种标准打架的情况几乎每个季度都要经历一轮。2.2 重保和迎检技术岗干成了长期值班的体力活这几年重保重大活动安全保障成了安全圈的高频词。每次重大活动前所有相关单位都要进入临战状态封网、禁变更、7×24小时值守、每15分钟上报一次安全事件、对所有进出流量做实时审计。听起来很专业实际做起来就是人肉盯屏加反复汇报。我记得有次重保连续值班两周每天工作超过14小时凌晨三点还要爬起来确认告警。结果历史攻击量比平时还低大部分告警都是误报但流程上你必须层层上报、留痕、写总结。这种“形式大于实际”的工作消耗了安全工程师大量精力和热情。更别提重保前还要提前做一轮攻防演练、应急演练、数据备份验证每一项都是实打实的时间黑洞。2.3 安全工程师的角色异化从攻防专家变成合规执行者坦白讲现在很多安全岗位的工作比例已经严重失调了。过去我理解的安全工程师更多是研究攻击手法、做代码审计、写检测规则。但现实中大量时间被填写合规表格、解释安全漏洞成因、推动业务部门整改、给领导写汇报材料占据。这背后的根源是安全在组织内部的定位逐渐从技术保障滑向了合规履约。一旦安全的价值被定义为不违规、不出事、能通过检查那么技术深度就变得次要了反而那些擅长文档、擅长协调、擅长揣摩检查口径的人更受欢迎。对于真心热爱技术的人来说这种异化是很折磨的。但没办法这就是行业现状——并且短期内无解。3. 新人入行学习路线越来越长入口和出口都在变难3.1 学习路线的剧变从一部教程到一套知识体系我在网上看到很多人在问网络安全学习路线这本身说明一个问题——现在的新人普遍不知道怎么入门。十年前大家推荐的路径很简单拿一本《Web安全深度剖析》装个虚拟机跑几个靶场就可以投简历了。现在呢你要懂网络协议、操作系统原理、Web前后端框架、数据库、编程语言至少一门、渗透测试方法论、代码审计思路、应急响应流程、云安全知识……这已经不是一条路线而是一棵知识树。很多新人学了两三个月的Linux命令和Burp Suite以为就能去挖洞结果面试被问TCP三次握手的第二次握手丢失会发生什么上行流量和下行流量的安全检测差异直接懵住。学习路线变长不一定是坏事它意味着行业对人才的综合要求确实提高了但对于没有引路人、全靠自学的人来说反而容易越学越焦虑。3.2 靶场和自学网站正确用法与常见误区网络安全靶场比如DVWA、Pikachu、Vulhub、BUUCTF这类是新手练手的好地方但很多人用错了方法。靶场的正确打开方式是先看懂漏洞原理再手动复现一次然后思考如果是我怎么设计防御规则。但实际中大量新手只是跟着视频教程点来点去截图记录这里弹了个框所以是XSS。等到了真实环境面对一个没有明确漏洞提示的接口立刻手足无措。靶场的作用是帮你建立问题感知不是培养肌肉记忆。真正拉开差距的恰恰是你在靶场上有没有追问向后的原理。网络安全自学网站这块资源确实多到爆炸但信息过载本身就是一种陷阱。今天这个公众号推零基础三小时入门渗透明天那个平台卖黑客技术大师课哪个都想学哪个都只学了个皮毛。我的建议很简单认准少数几个高质量的官方文档、开源源码、CTF真题库一门深入打穿打透比广泛涉猎却无一精通强十倍。3.3 泰山杯这类赛事实战训练场别本末倒置提到赛事很多人会问网络安全赛事最权威的赛事是哪个。从含金量来讲国赛、护网杯、强网杯、网鼎杯这些自然是金字塔尖而像泰山杯这类区域性/行业性赛事近几年越来越受一线从业人员重视。为什么因为这类赛事更贴近实际攻防场景不光是CTF那种解谜式的抓包分析还包含真实网络的渗透对抗、应急处置甚至涉及工控系统、云原生环境的攻防。通过比赛能逼着你在有限时间内做信息收集、漏洞利用、权限维持还能让你在队友的配合中理解团队作战是怎么协调的。但我对赛事的定位要泼一盆冷水比赛名次是简历上的加分项不是你真正的护城河。见过太多拿了省级奖项、实战能力却很拉胯的选手一上真实目标就抓瞎。比赛最大的价值不是证书本身而是逼你在可控环境里犯错、复盘、优化。3.4 面试题背后的真实要求知识、经验与思考这两年网上流传的各种网络安全面试题我看了不少确实很多都在卷细节。问什么TCP握手、Linux权限位、WAF绕过手法、Redis未授权利用链、内网域渗透流程……范围又广又杂让人摸不着重点。但如果你扒开这些题看本质面试官真正想验证的其实是三件事第一你是不是真的有动手经验——那种只背过文档但没实际跑过的人聊两句就露馅第二你能不能把零散知识串成体系——比如问你Redis未授权配合SSH公钥写入的利用前置条件是什么其实是在考察你对攻击链的完整理解第三你的安全思维是否严密——访问控制的绕过方式有哪些、日志里哪个字段先看这类题背后是风险判断力。对新人来说与其去背几千道面经不如好好复盘自己做过的一两个完整案例把漏洞成因、利用条件、修复建议、绕过尝试全部想透。我在面试中遇到那种能对着一个简单漏洞讲出完整攻击链的人根本不需要再多问其他基础题。4. AI安全不确定时代里少数确定的增量4.1 AI如何给安全行业加码要说最近几年真正让行业变“不好干”的推手AI绝对排得上号。AI 网络安全已经从概念走向落地这给攻防两端都带来了巨大的变量。从攻击侧看AI能批量分析开源代码、自动挖掘逻辑漏洞、生成免杀样本、甚至模拟社工话术。以前需要安全研究员花一周才能完成的分析AI几小时就能跑出结果。攻击门槛被大幅拉低意味着防御侧的对抗压力立刻上升。从防御侧看AI也有正循环。现在不少安全运营中心已经在用机器学习做流量基线建模、UEBA用户实体行为分析、恶意样本聚类规则引擎查不出的隐蔽行为AI模型有时能抓到。但AI发现告警不等于AI处置告警真正落下来还是需要安全工程师去研判、溯源、响应。所以AI不是替代安全从业者而是把从业者的能力基线抬高了——你不会用AI工具效率就会落后于人。4.2 AI安全的热点方向与岗位需求如果说传统的网络安全是人与人的对抗那AI安全更像是算法与算法的对抗。目前岗位需求最集中的几个方向包括大模型安全测试Prompt注入、越狱攻击、指令屏蔽绕过、模型输出内容安全评测甲方需要专门的人来验证自家大模型是否会被轻易诱导。AI供应链安全训练数据投毒、模型窃取、Federated Learning反演攻击这些新型攻击面催生了一波专项研究岗位。AI驱动的安全自动化用模型自动生成检测规则、辅助研判告警、生成攻防报告这其实是每个安全团队都在尝试提效的方向。这些方向的共同点是什么需要同时懂安全和懂AI。光懂AI的人玩不了攻防光懂安全的人写不了模型代码两边都懂一点的人反而最有竞争力。4.3 想转AI安全从哪里入手我的建议是先从应用层入手别一上来啃论文。先学着用开源框架跑一遍恶意流量分类再试试用语言模型分析告警日志把工具用熟了再回头补模型结构、训练调参那些底子。另外把传统安全功底打扎实依然是前提。AI安全再怎么新它处理的对象还是那些安全数据——流量、日志、样本、行为。你连tcpdump抓包都费劲连日志中的关键字段都分不清即便懂AI也很难落地。所以这个方向不是让你抛弃老本行而是在老本行之上叠加一个新技能层。5. 破局思路在不好干的时代重新定位自己5.1 从找漏洞转向解决问题前面吐槽了这么多总得说说怎么破局。我最核心的观察是行业的价值锚点正从发现漏洞迁移到解决问题。你在SRC提交十个漏洞不如给一个企业做一次完整的风险评估报告针对性地给出修复方案、加固建议、绕防测试思路。甲方真正缺的不是谁发现了问题而是谁能帮我可靠地把问题解决掉。那些只盯着漏洞库刷KPI的人越来越难混而能理解业务、能设计安全架构、能做应急响应的人反而在行业洗牌中变得更值钱。所以无论你做的是渗透、安全运维还是合规核心思维都要从我发现了什么升级到我解决了什么。这个转变会直接影响你的薪资、岗位天花板和职业安全度。5.2 沉淀工程化体系摆脱工具人定位另一个很实在的建议是把你重复做过的事情工程化。比如你每个月都要做基线检查能不能自己写一套自动核查脚本一键收集多台服务器的配置项自动生成报告你每次搞应急响应都要翻历史日志能不能沉淀一套标准的溯源SOP把常见攻击场景的处理流程固化成模板这种工程化看似前期投入时间但长期来看是复利式的回报。为什么我特别强调这点因为不好干的实质是行业在淘汰低效参与者。那些每天手动重复劳动、没有积累、没有沉淀的人必然会被更高效的工具和更年轻的劳动力替代。工程化不一定是写复杂系统哪怕只是把自己的经验整理成Notion笔记、做成个人知识库都是一种资产。5.3 深耕一个方向做到不可替代还有一条反直觉的心法行业越不好干越要聚焦。现在很多人看到AI安全火就去看AI看到云安全缺人就去学K8s看到工控安全有前景又去碰PLC结果每个方向都只懂皮毛。这种广泛追逐热点的策略在红利期行得通但在内卷期最容易翻车——因为泛泛之辈一抓一大把你的可替代性太高了。我见过真正的行业抢手货往往是那些在某个细分领域扎得很深的人有人能对Linux内核漏洞如数家珍有人熟悉特定行业的业务系统架构有人能把一个日志分析平台玩到极致。他们在市场上几乎不需要主动找工作猎头会找上门。深耕一个方向或许会寂寞但它是穿越内卷周期的确定性路径。5.4 保持持续学习的节奏感最后聊一点心态层面的东西。很多从业者焦虑是因为把学习当成了临时抱佛脚行业风向变了才开始学技术栈换了才去翻书导致永远在追赶、永远在被动。我自己的节奏是每周固定留出几小时不设具体目标地接触一些新东西——可能是读一篇安全顶会论文可能是玩一个新出的开源安全工具也可能是看看国外同行在聊什么。这些积累短期看起来没有回报但长期会在某个项目里突然就派上用场。更关键的是它能让你保持对技术的真实热情而不至于被日常的合规表格和重复劳动磨灭掉。最后说两句我在这个行业待了十几年经历过挖洞就能月入过万的时代也正在经历漏洞贬值、合规挤压、AI冲击的周期。不好干这三个字我比很多人体会更深。但我依然觉得网络安全是极少数越老越吃香的行业——真正的资深专家永远稀缺。问题不在于这个行业好不好干而在于我们有没有跟着行业一起进化。早年的红利是时代给的现在的困难也是周期给的。与其抱怨不如把手头的事情做深、做透、做出方法论。等下一轮周期来的时候你会发现所有认真积累过的东西都会变成你的底气。最后分享一个我自己一直用的习惯每次做完一个项目不管成功还是失败都强迫自己写一篇复盘包含三个问题——问题出在哪、为什么没早点发现、下次怎么避免。这个习惯帮我在无数次不好干的节点上依然能保持头脑清醒。希望也能给你一点参考。