消息提到，安全企业 Calif 披露其团队在 AI 辅助下，两天写出针对微信的远程代码执行漏洞，完整蠕虫又花了七天，可由微信通话在几秒内接管应用并借联系人扩散。素材同时说明，漏洞已在客户端（Android 8.0.77、iOS 8.0.76）和服务器端修复，用户当前不受影响。对投安全开发、漏洞研究、渗透测试的人，值得琢磨的是：工具提速之后，你怎么证明哪些判断是自己做的。

同一次漏洞挖掘，两种讲法差在哪

第一种讲法是“我用 AI 扫了一遍代码，发现了内存损坏问题”。这句话里没有任何可核查的动作，听不出你懂多少。第二种是“我先用工具圈出可疑的协议栈解析路径，再手工构造输入确认崩溃可复现，最后定位到具体的内存损坏点”。它把工具输出、人工判断、验证结果分成了三层。

素材只说“AI 辅助”，没给出工具链和人工复核的比例，所以不必假装了解那套流程，讲自己的就行。可以准备一个带[实际记录]占位的例子：那一次工具报了多少条候选，你逐条确认还是抽样确认，复现到什么程度才敢下结论。这类细节比工具名更能说明问题。

别只问“你们用不用 AI”

这个问题几乎问不出信息，对方答“用”或“在用探索”，你都拿不到可比较的东西。更有效的问法是把问题指向环节和流程：日常漏洞挖掘中，AI 工具主要用在哪一步，代码审计、模糊测试还是报告整理？工具给出的候选问题，人工复核大概怎么安排？团队提交漏洞时，可复现是不是硬门槛？

如果对方答得含糊，你不必下判断，但要意识到这个团队对工具边界可能还没形成共识，这会影响你进去后做什么、学到什么。

漏洞修完了，把注意力放回自己

素材给出的一个可观察点是修复动作同时落在客户端和服务器端，并明确到了版本号。这说明从确认到上线的链路是有人在盯的。面试时你可以顺带问一句：一个高危问题从确认到修复上线，通常走哪些环节，谁定紧急程度。这是了解团队真实节奏的切口，不是拿来推断招聘规模或技能门槛的依据。

真正能带走的动作很小：挑一份自己写过的漏洞复现记录，在末尾补两句——哪一步交给工具、哪一步是我自己确认的。补完再讲一遍，你会发现自己的表达已经比背工具清单实在。