AI挖出PHP十年漏洞，安全岗求职者该补什么

AI把发现漏洞的门槛从顶尖团队数月压缩到一人一周，安全岗位的价值重心正在从“会用工具”转向“能读懂代码、能判断风险、能推动修复”。

近期一则消息值得每一位关注技术岗位的求职者留意：研究人员借助人工智能模型，发现了PHP中潜伏十多年的严重安全漏洞，随后多国政府和企业进入紧急应对状态，相关攻击尝试在漏洞公开后迅速攀升至数百万次量级。这件事的技术细节离普通人很远，但它对就业市场的信号很近。

AI发现漏洞，为什么和求职者有关

先把事实说清楚。据原文报道，这两个被统称为“PHP2Shell”的漏洞严重程度评分达到9.2分（满分10分），攻击者在特定条件下无需账户和密码就可能远程执行恶意代码。更关键的是发现过程：过去即便专家注意到异常，要转化为可验证的攻击仍需极其复杂的研究；而借助先进AI模型，原本可能需要顶尖安全团队耗费数月的工作，如今一名研究人员可能在一周内完成。

这意味着什么？意味着“发现漏洞”这件事的供给突然变多了。PHP基金会已经警告，无论对防御者还是攻击者，工具发现漏洞的速度都比以往更快，未来漏洞报告数量还会继续增加。对安全岗位来说，工作量不是减少，而是结构变了：过去靠时间差争取修复窗口，如今这个时间差正迅速缩短，企业需要的是能快速判断、快速处置的人。

安全岗还值得投吗，需求往哪走

值得，但要看清方向。漏洞发现变容易，不等于防御变容易。原文提到，此次受影响的PHP版本跨度很大，部分旧版本早已停止官方维护，企业不仅要更新软件，还可能需要重新部署应用、测试兼容性。这类工作无法由AI一键完成，它需要人来做资产盘点、版本梳理、兼容性验证和跨部门协调。

所以安全岗位的需求正在向两端移动：一端是偏工程化的漏洞修复与系统维护，另一端是偏判断的风险评估与应急响应。中间那层“只会跑扫描工具、只会照报告念结论”的岗位，被压缩得最快。求职时如果简历上只有工具名称，很难说服面试官。

想进安全方向，简历上该写什么

结合这次事件，给几条具体建议。

• 写清楚你处理过什么版本、什么依赖的老系统。老旧系统修复是长期痛点，有实际经验的人稀缺。
• 写清楚你如何验证修复效果。能说清测试兼容性、回归验证流程，比罗列工具更有说服力。
• 写清楚你和开发、运维如何协作。漏洞修复从来不是安全团队单打独斗，跨团队推动能力是硬通货。
• 补一点AI工具的实际使用经验。不是会提问就行，而是能说明你用AI做了什么、结果如何复核。

非安全岗也别划走

这次事件波及的是大量网站共同使用的基础技术，普通互联网用户也可能面临个人信息泄露风险。对产品、运营、后端开发等岗位来说，懂一点安全常识正在从加分项变成基础项。面试时被问到“你负责的模块如何防止敏感信息泄露”，答不上来会很被动。

另外，AI降低的是发现门槛，不是理解门槛。工具能指出哪里可能有问题，但判断这个问题在自家业务里是否真的可被利用、优先级多高、怎么排期修复，仍然要靠人。这种判断力，恰恰是求职者可以主动积累的差异化能力。

把热点变成求职信息

一个漏洞事件不会直接创造或消灭大量岗位，但它会改变招聘方对候选人的期待。企业现在更愿意为“能缩短修复窗口的人”付钱，而不是为“能生成报告的人”付钱。求职者要做的，是把这类行业事件翻译成自己的能力清单：懂代码、懂系统、懂协作、懂用AI但不迷信AI。

想看同类岗位的实时变化，可在求职者营地（qzzyd.com）按城市和行业订阅大厂官网在招岗位，把热点对应到具体的职位描述上，比空谈趋势更有用。