- 博客(3505)
- 收藏
- 关注
RSS订阅原创 12小时948个漏洞：AI挖洞已经比人便宜50倍
OpenAI昨晚扔出一颗专业炸弹：GPT-6 Cyber，一个专门干网络安全的模型。它是在通用模型GPT-6 Astra基础上，用安全任务加训一轮、放宽限制做出来的——简单说，这个模型会写攻击代码。先看它交的卷子。研究团队搭了一条自动化流水线扫最新版Linux内核。内核总共4000万行代码，先筛出普通用户能触达的约280万行，然后放模型上场。12个小时，模型标记2308个可疑问题；虚拟机实测确认1724个；最后让模型给这些漏洞写攻击程序，在防护全开的标准系统上拿到root权限的，去重后948个。
2026-11-08 10:34:36
219
原创 AI挖洞成本趋近于零，攻防天平正在翻转
2025 年 5 月，独立安全研究员 Sean Heelan 做了一件让整个安全圈震动的事。他用 OpenAI 的 o3 模型，在 Linux 内核 SMB 实现中找到了一个远程零日漏洞，编号 CVE-2025-37899。没有脚手架，没有智能体框架，没有工具调用，就是把约 12000 行代码喂给 o3 ，让它检查 100 遍。o3 不仅找到了 Heelan 自己已知的一个漏洞，还在更大代码量的测试中报告了一个全新的释放后使用漏洞，连 Heelan 本人之前都不知道。
2026-11-08 10:33:44
4
原创 AI挖一个root漏洞1280美元，全球全年才确认26个
kernelCTF 是 Google 给 Linux 内核挂的漏洞赏金场，全球顶尖研究员排队去打。2026 年一整年，全世界提交并被确认的零日提权漏洞是。OpenAI 的一条自动化流水线，112 小时拿下 21 个，API 账单。这是 11 月 4 日 OpenAI 发布的《A thousand fewer paths to root》里，最不起眼的一段。更大那句话写在开头：10 月中旬的一次运行，AI 从 Linux 内核里挖出可用的本地提权漏洞，平均每个成本 1279 美元。
2026-11-08 10:32:42
35
原创 OpenAI用AI一次挖出948个Linux内核提权漏洞，补丁也一起交了
圈里长期有个说法：AI 挖漏洞只管制造发现，收拾残局还得靠人。OpenAI 11 月 4 日公开的那份报告，让这句话要改一改了。2026 年 10 月中旬，一条五段式流水线对着最新 Linux 内核跑了一轮，的可用利用代码和候选补丁一起出炉，全程 API 花费 1,213,430 美元。按 Pwn2Own 和 TyphoonPWN 历史赏金折算，这批利用估值 1,890 万到 6,630 万美元，是成本的 16 到 55 倍。
2026-11-08 10:31:29
25
原创 最近AI挖漏洞爆火，一篇带你了解用WorkBuddy挖漏洞的全流程！
在补天、漏洞盒子、各厂商 SRC 平台授权范围内，用 WorkBuddy 做资产梳理、接口抓取、基础漏洞初筛、报告生成，再人工复核提交，确实是一条可以跑通的副业路径。WorkBuddy 是腾讯出品的 全场景 AI 智能体桌面工作台，2026 年 3 月上线，和 CodeBuddy 同属一个 AI 工具矩阵。马化腾将 WorkBuddy 定位为腾讯内部的“超级项目”，是继 QQ、微信之后的第三个战略级产品，重点打造 AI 原生办公智能体。。
2026-11-05 11:44:23
178
原创 有人用WorkBuddy挖漏洞赚钱？背后的操作流程曝光
同样是做漏洞挖掘，为什么有人还在手动收集资产、扫描端口、识别指纹，而有人已经开始让 AI 帮自己跑流程了？真正耗费安全人员时间的，往往不是漏洞分析，而是前期大量重复操作。扫描结果一大堆，哪些资产值得关注？哪些技术指纹存在风险？哪些漏洞线索值得进一步验证？光是整理这些信息，就可能花掉大半天。现在，AI Agent 正在给网络安全带来新的玩法。过去需要人工逐步完成的工作，可以通过 AI 与专业工具配合，串联成自动化工作流。这次要介绍的是腾讯推出的 WorkBuddy。
2026-11-05 11:33:09
194
原创 网安新玩法：用workbuddy自动挖洞拿赏金，周入13000
*这条自动化挖洞工作流，将资产测绘、信息搜集、批量探测、漏洞初筛交由 Agent 自主执行。**
2026-11-05 11:29:37
285
原创 如何通过Agent+Skill+Kali进行漏洞挖掘
网络安全怎么搞，小枣信安来唠唠。近期几篇记录下AI辅助漏洞挖掘的相关内容，例如自主化Agent应用，AI辅助渗透等。本篇记录的AI辅助挖洞核心架构就是使用一个Agent，通过Skill将各个漏洞的挖掘技能接入，通过MCP将外部工具接入，例如将Kali系统接入。使用时直接给Agent下达任务，它会根据Skill要求去调用相关工具进行测试。
2026-11-05 11:28:43
161
原创 男生失业在家别摆烂，用workbuddy挖漏洞也能养活自己！
失业在家不要焦虑，不要只知道送外卖、摇奶茶，在家躺着用workbudd就能帮你挖漏洞养活自己，白天送外卖，晚上在家用AI挖漏洞，不比上班差！首先你只需要安装workbuddy，直接官网下载就行，相比于codex，它的安装环境更简单，只需要花点时间安装上需要的skill，然后去正规SRC平台注册一个账号，剩下的事情交给workbudd就行了，不需要懂代码、不需要一直盯着，它能自动流水线作业。
2026-11-05 11:26:25
179
原创 AI辅助挖洞怎么做？WorkBuddy实战教程来了
WorkBuddy 的用法，已经从办公桌延伸到了网络安全领域。除了写文档、整理数据，也有人尝试用它辅助分析漏洞线索，参与漏洞赏金项目。看到别人分享赏金收入，难免让人心动。对新手来说，更值得关注的是：怎么借助AI理解思路，把学到的知识用到实践里？今天就围绕，把AI辅助漏洞挖掘的入门流程拆成，聊聊WorkBuddy能帮上什么忙，以及哪些环节需要自己判断。
2026-11-04 11:24:43
173
原创 网安新玩法：用workbuddy自动挖洞拿赏金，周入3500
这段时间，身边聊"AI 挖洞"的人明显多了起来。原因不难理解：漏洞挖掘这件事里，最磨人的从来不是"判断"，而是"筛查"——资产要一个个测绘、端口要一个个探、报告要一份份整理。这些活儿恰好是 AI Agent 最擅长的。WorkBuddy 这类智能体工具火起来之后，已经有不少安全圈的朋友把它接进了自己的挖洞流程。，把它当成一个方向，比当成一个承诺更靠谱。
2026-11-04 11:23:51
337
原创 四百六十五块一个洞：AI挖洞这笔账我帮你算清楚了
三百一十八万份漏洞报告，四百六十五块钱一个。中间差的那一段，才是这门生意的真相。前天夜里有人给我发来一套脚本，说是 AI 一键挖洞，装上就能跑，一天出十个高危，一个月回本。附了一张后台截图，赏金余额四位数。我没跑那套脚本。我跑去翻了一个开源项目的记录，因为那里面写着同样的故事，只是结尾不一样。这个项目叫 curl。你手机里、路由器里、服务器里，几十亿台设备上都有它。它的维护者叫 Daniel Stenberg，一个瑞典人，从 1998 年写到现在。他的团队七个人。
2026-11-04 11:22:39
559
原创 有人用WorkBuddy挖漏洞赚钱？背后的操作流程曝光
同样是做漏洞挖掘，为什么有人还在手动收集资产、扫描端口、识别指纹，而有人已经开始让 AI 帮自己跑流程了？真正耗费安全人员时间的，往往不是漏洞分析，而是前期大量重复操作。扫描结果一大堆，哪些资产值得关注？哪些技术指纹存在风险？哪些漏洞线索值得进一步验证？光是整理这些信息，就可能花掉大半天。现在，AI Agent 正在给网络安全带来新的玩法。过去需要人工逐步完成的工作，可以通过 AI 与专业工具配合，串联成自动化工作流。这次要介绍的是腾讯推出的 WorkBuddy。
2026-11-04 11:21:44
112
原创 网络攻防进入AI时代——AI渗透的未来是什么？
拉回 PHP 那晚，从补丁发布到数小时内攻击代码出现、一天后武器化尝试落地，再到一周后确认在野利用——整个链条上，"谁先发现"已经不决定胜负了。AI 同时进入了攻击、测试和防守的每个环节，发现环节的差距会被快速抹平。最近的事件都说明了——网络安全的竞争焦点，正在从发现漏洞转向修复速度。攻击者以小时跟进，防守方也得在同样的时间里找到受影响系统、完成封堵和修复。这些环节跟不上，AI 抢出来的时间就全都作废。可攻击者的迭代速度，不会等你。
2026-11-04 11:20:45
147
原创 AI挖漏洞真的能赚钱吗？10年白帽从业者说句实话
最近刷到很多视频，说普通人靠AI挖漏洞，一晚就能赚几千块。评论区有人心动，也有人怀疑：真的假的？不会是割韭菜吧？作为一个在网络安全行业摸爬滚打了10年的老白帽，今天我就跟大家说几句实话，聊聊AI挖漏洞这件事，到底是风口还是智商税。
2026-11-03 11:40:25
70
原创 网安挖洞新搭档WorkBuddy：AI辅助实战怎么玩？
*最近腾讯 WorkBuddy 热度很高，**越来越多人把它放进工作流里，就连网安圈子，也有不少人拿它辅助挖洞、刷漏洞赏金。网上还有不少人分享案例，靠着这套方法拿到了可观的赏金。，漏洞挖掘并不是稳赚的副业，能否拿到赏金，取决于你付出多少以及漏洞的实际质量。很多零基础新手会好奇：小白能不能依靠 WorkBuddy 入门漏洞挖掘？完整的实操路线该如何规划？话不多说，直接上实战思路，分成 6 步拆解，带你理清 AI 辅助挖洞的完整流程。
2026-11-03 11:37:12
190
原创 AI挖洞实战13：Workbuddy+Skill技能库
这是我之前用Workbuddy搭配Skill技能库，辅助挖到的一处，厂商评级中危，赏金500元。很多粉丝总问我：AI挖洞是不是只能跑出一堆无效线索，根本拿不到赏金？这单就是实打实的结果。但也要说清楚，AI负责批量探测、快速标记可疑点位，最终的验证、调payload、整理报告，依然要自己上手，AI不能直接帮你拿奖金。
2026-11-03 11:35:59
152
原创 AI辅助挖洞怎么做？WorkBuddy实战教程来了
WorkBuddy 的用法，已经从办公桌延伸到了网络安全领域。除了写文档、整理数据，也有人尝试用它辅助分析漏洞线索，参与漏洞赏金项目。看到别人分享赏金收入，难免让人心动。对新手来说，更值得关注的是：怎么借助AI理解思路，把学到的知识用到实践里？今天就围绕，把AI辅助漏洞挖掘的入门流程拆成，聊聊WorkBuddy能帮上什么忙，以及哪些环节需要自己判断。
2026-11-03 11:33:52
216
原创 AI+网安：现在依然是普通人能抓住的最后一波红利
天天熬夜加班，到手工资却越来越少，很多人看到网安挖漏洞副业，都很心动，但都被自己的那套固有思维劝退：觉得必须会写代码、精通各种高深的攻防技术、天天熬夜打靶场、零基础不能入手黄仁勋早说了：AI+网络安全将是下一个爆发赛道你不知道的是，现在不需要从头开始学，也不用死磕复杂攻防知识普通人每天花1~2小时的空闲时间，照样能挖漏洞、提交SRC，赚收益今天就给大家讲一下用WorkBuddy怎么挖漏洞赚赏金，操作其实很简单（示例）
2026-11-02 11:25:47
462
原创 零基础用WorkBuddy做SRC挖洞，周入2k,完整实操流程(超简单)
今天来拆解 WorkBuddy AI 挖洞的底层逻辑：不是一键黑客，是自动化工作流。最近 #WorkBuddy 爆火，很多视频宣传靠它挖漏洞日入数 k。作为 IT 网安从业者，我拆解一下这套方案的底层逻辑。WorkBuddy 作为国产 Agent，对比海外 Codex，优势在于对国内业务、国内站点的理解更好，降低了自动化安全测试的使用门槛。整套工作流的核心，是用 WorkBuddy 智能体串联起漏洞探测、信息整理、报告撰写：操作步骤：01硬件门槛很低，普通电脑即可；
2026-11-02 11:24:59
260
原创 给AI黑客注入“冷静”，它真的更会挖洞了？
一个渗透测试工程师卡在靶机前，通常会经历这样的循环：找到线索时兴奋，连续失败时烦躁，换路成功时狂喜，拿到 flag 后短暂空虚，然后继续下一台。如果把同样的问题交给 AI，它会不会也需要一种“心态”？
2026-11-02 11:24:02
224
原创 AI挖洞巅峰之作：Claude向五大硬核基建开刀
一句话结论Claude 已经越过 scanner 报可疑点的阶段：它在 Chrome、Safari、Android、Windows 和 Linux 中写出可运行 exploit，把内存破坏、沙箱逃逸和协议缺陷串成完整攻击链，最少不需要用户交互。过去几个月，我们用了一个尚未发布的内部研究模型，目标是全球使用最广、也最难啃的软件。这些产品里的任何漏洞都可能影响数十亿用户，因此我们把它们当成检验模型漏洞研究能力的试金石。
2026-11-02 11:22:58
197
原创 全自动AI挖洞，只是开始
最近一年。AI漏洞挖掘越来越火。很多师傅都开始分享自己的成果。我们也开设了相应的课程。刚开始的时候。我和很多人的想法一样。AI能帮忙写代码。能帮忙分析日志。能帮忙写报告。但真能帮忙挖洞吗？直到后来。我们把AI真正跑进项目。答案变得越来越明确。AI不仅能挖洞。而且已经开始改变漏洞挖掘的工作方式。
2026-11-02 11:20:34
204
原创 漏洞海啸将至：AI时代，监管检查盯上了你的处置能力
10月21日深夜，PHP 官方发出一条紧急更新公告：两个藏在核心引擎里的严重漏洞，能让未登录的攻击者直接远程执行代码。消息传开后的几天里，欧洲好几个国家的政府网站、医院、公共服务平台，接连选择暂时下线。不是因为这些站点都已经遭到攻击，而是没人敢赌会不会遭到攻击——AI 把"找到漏洞"和"打出有效攻击"之间那道高墙，削矮了一大截。几乎同一时间，Anthropic 的安全高管在社交平台上放话：全球可能迎来一场"漏洞海啸"，最危险的还不是漏洞变多，而是关键基础设施根本来不及修。
2026-10-31 11:49:37
152
原创 2026年，AI挖洞真的把「古法挖洞」按在地上摩擦了吗？
2026 年这事挺分裂的。朋友圈里有人在晒「AI 挖洞月入 10w+」的截图，另一边，腾讯 TSRC 一口气封了 4 个白帽账号，原因涉及 AI 报告未经人工验证，其中一个账号还涉及报告造假。本身就强的人，用 AI 只会越来越强；新人用 AI，只会越来越菜。AI 会放大使用者已有的能力，也会放大判断和验证上的不足。有经验的研究者知道模型输出需要核对什么，缺少基础的人更容易直接接受错误结论。使用 AI 后能否继续积累能力，与还动不动脑子有关。
2026-10-31 11:48:45
141
原创 AI挖洞工具2026盘点，哪款能用
AI 挖洞的第一部大片这周上映了：PHP2Shell，一个 AI 发现的 70% 互联网站点可用的 RCE，WSJ 和 NPR 都报道了。但大片看完要问一句：现在真正能上手的 AI 挖洞工具有几个？四个真实案例拆开看，附一张选型表。01。
2026-10-31 11:47:30
198
原创 【AI挖洞】给自动渗透加一套“控制系统”
前面一直在展示AI如何分析目标、定位接口，再由人工完成漏洞验证。做的多了难免就会有这样的担忧。如果要让AI长时间、持续地执行自动化渗透测试，给它一个目标，让它自己调用浏览器、HTTP 工具和扫描器，万一它给我删库了呢？又不是没发生过。AI会反复测试相同位置，也可能在一个可疑参数上不断变换Payload。遇到文件上传、富文本编辑器这类会影响业务数据的功能，测试动作还可能留下内容，甚至影响正常用户。我们都希望AI能承担更多工作。不必一直盯着它操作，而是把精力放在任务配置、异常处理和结果复核上。
2026-10-31 11:46:22
105
原创 10月漏洞翻了三倍：是不是AI在帮黑客挖洞
是不是 AI 挖的」，这个问题可能几年内都不会有定论。但「漏洞变多了」这件事，已经写在数据里了。对做安全的人来说，原因可以慢慢研究，应对不能等。
2026-10-31 11:45:17
29
原创 AI挖洞：不露脸的新赛道，一周真能赚1万？
想要真正学好一门技术，兴趣永远是第一位。天赋不足可以靠时间和努力补齐，可若是缺少兴趣支撑，多半很难坚持下去。如今各行各业竞争都不小，没有亮眼学历和过人天赋，那就唯有踏实努力、持之以恒。愿我们都坚守初心，一起加油！给大家总结了一套适用于网安零基础到挖漏洞、就业、打CTF的学习路线以及学习资源，应届生和转行人员都适用，就算你底子差，如果能趁着网安良好的发展势头不断学习，日后靠AI挖洞躺赚、跳槽大厂拿百万年薪也不是不可能！在下方免费领取↓↓↓。
2026-10-29 11:42:30
452
原创 【AI挖洞】AI任务式挖掘
之前一直在用AI辅助挖洞，总想挖个大的。玩了一段时间后才幡然醒悟。AI可以帮我们做的，不是找到手工发现不了的漏洞，我的想法很简单。把目标和测试范围交代清楚，让AI去分析。等任务跑完，再回来查看它整理出的结果。哪些问题值得继续看，哪些是误报，再由我来判断和验证。这次整理的两份报告，都和登录流程有关。一个涉及短信验证码与手机号的绑定，另一个涉及登录验证码校验。
2026-10-29 11:40:28
131
原创 AI挖漏洞真的能赚钱吗？10年白帽从业者说句实话
AI挖漏洞这件事，真的能赚钱吗？能，但不是你想的那么容易。它需要你学习、需要你动手、需要你有耐心。但比起送外卖、发传单这些纯体力活，这门技术一旦学会，就是你自己的本事，能跟着你一辈子。尤其是对于大学生来说，在宿舍里靠课余时间挖漏洞赚点生活费，同时还能积累实战经验，写进简历里，找工作的时候比那些只有成绩单的同学有竞争力多了。如果你也想试试这条路，我整理了一份零基础入门的学习路线图和配套教程，需要的朋友可以留言告诉我。
2026-10-29 11:39:13
186
原创 埋了14年的一个洞，45分钟炸穿半个互联网
这篇写完，最想让你记住的不是「PHP 有个洞」。是那个速度差。AI 挖出漏洞用了几个月，攻击者把漏洞变成武器用了 45 分钟，而大量企业的补丁流程还在以周为单位走。过去我们默认「漏洞公开之后还有时间修」。这个默认前提，是靠「人干活需要时间」撑着的。AI 把这个前提拆掉了。于是出现一个尴尬的错位：AI 让发现变快了，让攻击变快了，但没有让「修」变快——修要改代码、要测试、要协调、要停机窗口。这些是组织和工程的事，不是算力的事。所以这次真正被打脸的，不是 PHP，是我们对「还剩多少时间」的估计。
2026-10-29 11:34:31
250
原创 AI挖洞实战08：Workbuddy+Skill技能库，文件上传漏洞
千万不要直接去测本校官网、教务系统，没有授权属于违法行为。我们只能在SRC平台开放的校园类众测靶场练习。AI是工具，不能替代思考。如果看不懂漏洞原理，就算AI跑出线索，你也无法复现、写不出合格的漏洞报告。课余、实训间隙学网安，一边练手一边拿赏金，既能攒下实打实的项目写进简历，也能赚点生活费。对我们专科生来说，这是一条靠技术提升自己的路子。AI 自动化挖洞 Skill，也就是这套《Web 漏洞技能集》。
2026-10-28 11:47:18
106
原创 【AI挖洞实战篇】：Workbuddy+Skill技能库，文件上传漏洞
⚠️ 重要提醒身边好多同学刚接触挖洞，一上来就兴冲冲去扫本校的官网和教务系统，没有授权的测试就是违法！真要练手就去SRC平台开放的众测靶场，别拿自己的前途开玩笑。说到底AI就是个帮你干重复苦力的工具，代替不了你自己懂原理。要是连文件上传漏洞的校验逻辑都搞不明白，就算AI把线索喂到你嘴边，你也复现不出来，更写不出能过审核的合格报告。平时课余、实训间隙抽点时间学网安，一边练手一边拿点赏金，既能攒下实打实的项目经历写进简历，也能赚点零花钱。对我们专科生来说，这真的是一条靠技术提升自己的实在路子。
2026-10-28 11:45:43
68
原创 【AI挖洞】AI任务式挖掘
之前一直在用AI辅助挖洞，总想挖个大的。玩了一段时间后才幡然醒悟。AI可以帮我们做的，不是找到手工发现不了的漏洞，我的想法很简单。把目标和测试范围交代清楚，让AI去分析。等任务跑完，再回来查看它整理出的结果。哪些问题值得继续看，哪些是误报，再由我来判断和验证。这次整理的两份报告，都和登录流程有关。一个涉及短信验证码与手机号的绑定，另一个涉及登录验证码校验。
2026-10-28 11:44:26
111
原创 【AI挖洞】AI任务式挖掘
之前一直在用AI辅助挖洞，总想挖个大的。玩了一段时间后才幡然醒悟。AI可以帮我们做的，不是找到手工发现不了的漏洞，我的想法很简单。把目标和测试范围交代清楚，让AI去分析。等任务跑完，再回来查看它整理出的结果。哪些问题值得继续看，哪些是误报，再由我来判断和验证。这次整理的两份报告，都和登录流程有关。一个涉及短信验证码与手机号的绑定，另一个涉及登录验证码校验。
2026-10-28 11:43:11
156
原创 AI挖洞巅峰之作：Claude向五大硬核基建开刀
一句话结论Claude 已经越过 scanner 报可疑点的阶段：它在 Chrome、Safari、Android、Windows 和 Linux 中写出可运行 exploit，把内存破坏、沙箱逃逸和协议缺陷串成完整攻击链，最少不需要用户交互。过去几个月，我们用了一个尚未发布的内部研究模型，目标是全球使用最广、也最难啃的软件。这些产品里的任何漏洞都可能影响数十亿用户，因此我们把它们当成检验模型漏洞研究能力的试金石。
2026-10-28 11:41:38
172
原创 自动赏金猎人｜自动化挖洞躺赚，半天跑出一笔赏金
不敢停下，不敢失业，怕裁员、怕 35 岁门槛，拼命内卷，收入天花板却一眼就能看到头。想找副业增收，又怕耗大量时间，送外卖、做手工、剪辑短视频，全是拿时间换钱，忙到深夜也赚不到多少；任务启动之后，你该吃饭吃饭、该休息休息，不用一直守在电脑前。也就是大家说的自动赏金猎人，不用你全程盯着屏幕手动测试，配置好自动化工作流交给 AI 跑任务，半天时间，就有机会跑出有效漏洞，拿到平台赏金。AI 帮你批量扫描、初步筛查，等跑出可疑漏洞，你再人工复核验证，整理规范的漏洞报告提交平台，审核通过，赏金直接结算到账户。
2026-10-27 11:05:14
852
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人