從 24 個 Android 漏洞，看資安工程師接下來要練什麼

GitHub Security Lab 上週開源了一個叫 Taskflow Agent 的工具，讓資安研究員把複雜的漏洞搜尋拆成一步步的指令餵給 LLM，結果在 Android 應用程式裡挖出超過 24 個漏洞。這工具建立在 GitHub Copilot 之上，重點不是又一個 AI 掃描器，而是把「怎麼問 AI 找漏洞」這件事本身做成可分享、可重複使用的 prompt 和 workflow，公開放在 GitHub 上讓所有研究員拿去複製貼上。 同一週，Anthropic 也宣布旗下分子生物學實驗室用 950 個 Claude Agent，花 21 小時從大量 DNA 序列裡找出未被歸檔的酵素周邊重複模式，號稱是 Claude 的第一個「科學發現」。兩則新聞放在一起看，是同一套邏輯：把原本需要專家花數週手動地毯式搜尋的工作，拆解成 AI agent 可以並行處理的小任務，然後丟一大群 agent 同時跑。 這對資安工程師是什麼訊號？以前滲透測試新人入行，第一年多半在做重複性的掃描、fuzzing、比對已知漏洞庫，這類工作現在被 Taskflow Agent 這種東西吃掉的風險最高。真正留下來的價值，變成設計「怎麼把一個模糊的資安目標拆解成 AI 聽得懂的步驟」，以及判斷 AI 吐出來的漏洞報告裡有多少是真的、多少是 false positive。這跟過去靠經驗直覺去嗅漏洞，是完全不同的技能。 資安研究員的工作，正在從「自己拿放大鏡找針」變成「訓練一群獵犬去找針，自己負責確認叼回來的是不是真的針」。獵犬跑得快、跑得多，但認不認得出針，還是得靠人判斷。 還在猶豫要不要往資安發展、或已經在這行的人，現在該練的不是更會手動找漏洞，是更會把找漏洞這件事講清楚給 AI 聽，再加上足夠深的底層知識去戳破 AI 的自信滿滿。這條能力線短期內不會被取代，只會愈來愈值錢。