AI一年挖出PHP致命漏洞，安全岗求职者该补什么课

AI 把挖漏洞从“顶尖团队几个月”压到“一个人一周”，安全岗位的门槛没有消失，而是从“会用工具”挪到了“看得懂底层代码、扛得住应急响应”。

PHP2Shell 这件事最值得求职者注意的，不是哪个国家关了网站，而是漏洞被发现的方式变了。Calif 的研究员带着 AI 审计 PHP 内核，几天内就摸到第一个问题；Wiz 的研究员借助前沿模型，几小时内让攻击在 Drupal 和 WordPress 上跑通。两家公司、三个模型、三周之内撞上同一组漏洞，这在过去很难想象。

AI挖漏洞，安全岗是变多了还是变少了

短期看，安全岗位不会因为 AI 会找漏洞就消失，反而会出现结构性挪动。

• 重复性的扫描、比对、写报告，会被 agent 吃掉一部分，只靠“会跑工具”的初级岗位竞争会更激烈。
• 真正缺人的地方在两头：一头是能读懂 PHP 内核、浏览器引擎这类老代码的审计者；另一头是能在一夜之间完成资产盘点、补丁验证、临时下线的应急响应者。
• 漏洞披露后的“防守方窗口”被压缩到几个小时，意味着企业更愿意为能快速判断“先打补丁还是先下线”的人付钱。

原文里有一个细节很说明问题：PHP 只为 8.2 到 8.5 四个版本发布了正式修复，而补丁发布前一天，互联网上还有约 88 万台服务器在对外显示 PHP 8.1 或更老的版本。补丁有了，机器还在跑老版本，这就是岗位需求——不是发现漏洞的人不够，是能把补丁落到每一台机器上的人不够。

想投安全岗，简历上该写什么

如果你正在准备安全方向的求职，可以把注意力从“我熟悉哪些扫描器”转向“我独立完成过哪一段审计或响应”。

• 代码审计经历比工具清单更有说服力。哪怕是一个开源项目里的小模块，能说清楚你怎么追踪执行路径、怎么判断内存管理层面的缺陷，就比罗列工具名强。
• 应急响应经历要写出时间线。补丁发布前你做了什么、发布后多久完成验证、有没有做过临时下线决策，这些是面试官真正会追问的。
• 对 AI 工具的使用要能讲出边界。原文里 Calif 把第一个漏洞的模式总结成可复用的技能文件，再去找第二个漏洞，这种“把方法打包”的思路，本身就是可以写进项目经历的技能。

非安全岗也要留意的信号

PHP 是全球用得最多的网站后端语言之一，能识别出后端语言的网站约七成跑在它上面。这意味着大量中小公司的站点、后台、内部系统都可能受影响。

对后端开发、运维、甚至产品岗的求职者来说，面试时被问到“你负责的系统怎么应对突发高危漏洞”，已经不算超纲题。能答出资产清单、版本管理、灰度补丁、回滚预案这几件事，比背漏洞编号有用。

把“太累了所以安全”当成过去式

原文里有一个说法叫 security by exhaustion——很多漏洞之所以没被利用，只是因为攻击它们太费劲。AI 正在把这份“费劲”抹平，攻击者手里的模型和防守方往往是同一代。

对求职者的启示很直接：不要把自己的竞争力建立在“这件事很麻烦、别人不愿意做”上。麻烦的事会被工具吃掉，能判断、能决策、能落地的人不会被吃掉。

想看同类岗位的实时变化，可在求职者营地（qzzyd.com）按城市和行业订阅安全、后端、运维方向的在招岗位，对照着补自己的短板。