← 返回文章列表
日常随笔#安全开发#LLM Agent#软件工程#网络安全#职业发展#劳动力市场

安全开发在 Agent 时代的位置：从软件工程与安全的结构性变化，到一个人的成长路线

LLM Agent 把书写与检查类安全工作的边际成本打掉了一个数量级，却没有同等地降低为软件安全承担后果的成本。本文沿软件工程与安全两侧的结构性变化，结合需求侧数据，论证安全开发岗位的单位团队编制变薄而总量向资深与担责端集中，位置从检查代码挪到为 agent 产出立规、验证与签名的位置，并给出行进顺序明确、产出可验证的成长路线。

LuvW&Q55 分钟读完

安全开发在 Agent 时代的位置

先摆三个已经发生的事实。2025 年 8 月 8 日，DARPA 的 AI Cyber Challenge（AIxCC，AI 网络挑战赛，两年赛程、由 DARPA 与 ARPA-H 联合组织、Anthropic/Google/OpenAI 提供模型额度）决赛在拉斯维加斯放榜：七个团队的自动化系统全部至少找到一个非人为埋设的真实漏洞，赛后合计有 18 个真实漏洞以负责任披露的方式提交给了各开源项目维护者；DARPA 公布的统计里，每个竞赛任务的平均处理成本约 152 美元，补丁平均 45 分钟写成（DARPA, 2025）。同年 6 月，一家叫 XBOW 的公司宣布，其自主渗透测试 agent 在漏洞众测平台 HackerOne 的美国区排行榜爬到第一：按厂商自述，XBOW 累计提交近 1,060 份漏洞报告，全部由 agent 生成，提交前由自家安全分析师逐条复核（XBOW, 2025）。8 月底，Anthropic 威胁情报团队披露：有攻击者用 Claude Code 对至少 17 家医疗、应急、政府与宗教机构实施大规模窃密与勒索，赎金一度开到 50 万美元以上，而侦察、横向移动、决定“偷哪份数据”这些动作大部分由 agent 执行（Anthropic, 2025-08）。

这三件事并排放着，一个默认判断就出现了，今天相当一部分准备转行的工程师持有它：既然 agent 已经能自己写代码、自己找漏洞、自己打补丁，那么“安全开发”（把安全要求嵌入软件开发流程的这一类工作：威胁建模、安全设计评审、代码审计、SDL 与 DevSecOps 的流程落地、漏洞修复与应急响应）要么被 agent 顺带做掉，要么伴随攻击全面自动化而失去需求。

本文的判断不同。安全开发的工作由两层构成，两层的命运正在分岔。一层是检查类劳动：给定标准后，答案对错可以被明确判定的问题——这个依赖包是否在黑名单里，这段 diff 是否触发某个已知缺陷模式，这条扫描告警是不是复现得出的。另一层是对着一堆不确定和解空间下判断、并且出错时要有人名下认领后果的劳动：这个新架构引入了哪些信任边界，这次活动触发没触发必须 24 小时内上报的门槛，这个补丁是否可以发布。两层之间给一条能落到具体任务上的判据：一问这个任务的输出能不能用一份可重放的检查验收，也就是把同样的输入再跑一遍，对错结果不变；二问这份检查已经存在，或者肯花成本可以建出来；三问检查通过之后，沿用这个结论的活动出了事故，后果认领在谁名下。**前两问决定这份劳动会不会被自动化吞掉，第三问决定它值多少钱。**报告文本、扫描初判这两问都是“能”，正在变便宜；架构判断、放行决定第三问隔着“责任”二字，没有被同等降价。这个岗位不会消失。自动化吃掉检查类工时后，单个交付单元里排在检查环节的人变少——这是“变小”的唯一含义。总量是另一本账：在涨（G7 岗位需求同比 +9.5%、BLS 十年期 33%），入口在缩（22–25 岁劳动者在 AI 高暴露职业里的就业比基线低 19%、junior 发布量仅 +5.9%），涨在资深与担责端、断在入口端。两件事不冲突：薄的是单位团队检查那一环的人数，涨的是行业总盘子。岗位因此变重，位置从“检查代码”挪到“为 agent 的产出验证、立规与签名”。变重是本文的核心判断，也是全文最需要被挑战的断言，第三节末尾专门处理它的最强反论，第四节末尾给出什么观察会证明它是错的。

篇幅分配先说清：第一节讲机制，第二节讲安全两侧的曲线如何动，第三节看岗位的定价——谁的名字被点名、招聘与工资的数据向着哪里去、制度为什么还没留出让渡空位，第四节是一条可执行的进场路线。威胁建模（threat modeling）指在设计阶段系统性枚举“攻击面可能在哪里”；SDL（Security Development Lifecycle）是微软 2004 年提出的安全开发生命周期框架，把安全要求嵌入需求、设计、实现、验证、发布的每一环；DevSecOps 是它在持续集成与交付流水线里的延伸形式。

一、Agent 改写了软件工程的哪一层

从补全到任务级交付

这一变化的界线可以从一个直接引用的时间锚点画出来：Andrej Karpathy 在 2025 年 2 月创造了 “vibe coding”（氛围编程，指开发者几乎不再逐行审视代码，把需求告诉模型、运行结果对就算通过）这个词（Simon Willison, 2025）。术语只是现象的命名，真正变化的是人机分工的位置：从语法层面的补全（帮我写这一行），上移到任务级交付——向 agent 描述需求，让它自己去理解并修改一块未见过的代码库，直到测试通过。

两年前补全级能力的量化底座是 Peng 等人 2023 年的随机对照试验：被试各写同一个 HTTP 服务器，允许用 GitHub Copilot 的一组完成速度快 55.8%（Peng et al., 2023）。任务级交付至今没有同口径的对照数，只有一条二手估算可用：METR 在 2026 年 2 月的更新文章中援引了 SemiAnalysis newsletter 的一项行业估算，称大约 4% 的 GitHub 提交直接由 Claude Code 生成（METR, 2026-02）。这条估算按本文的引证纪律只能算旁证：口径（有没有区分代码提交与格式整理、依赖升级类提交）与判定规则（提交作者字段怎么算 agent）未见公开，也没有对应 Copilot 年代的基线可比较。它说的只是“署名”这一格的量级存在，不说明“低层代码工作被接管”，那句话本文不当证据用。

时钟与自我感觉的落差

之所以要反复给这条旁证降级，是因为这个领域最需要的恰恰是分清感觉与测量。METR（非营利评估机构，专事测量前沿 agent 在真实环境下的自主能力）2025 年 7 月发布的随机对照试验：招募 16 名资深开源开发者，全部来自他们本人多年维护的项目（平均 2.2 万以上 star、百万行代码），抽取他们真实打算做的 246 个 issue（平均两小时左右的工作量），随机一半任务允许使用 AI（主要以 Cursor 搭 Claude 3.5/3.7 Sonnet）、一半禁用。结果：允许使用 AI 的那半任务平均慢 19%。更刺眼的是主观感受：事前他们预测用 AI 可以提速 24%，做完之后仍认为提速了 20%——亲历了慢 19%，还是报了快 20% 的答卷（METR, 2025）。先给这条数的边界：16 人是一个极窄的人群，METR 自己声明结果外推有限；它测的是速度，不测质量。

2026 年 2 月 METR 给出更新：二轮对照试验（2025 年 8 月启动，57 名开发者、143 个代码库、800 多个任务）出现了严重的自我选择——30% 到 50% 的参与者透露会只提交那些明显适合 AI 的任务，“不想为被随机到禁用一半而付时间”，原设计已采不到中性样本。二轮的点估算：原班开发者 −18%（置信区间 −38% 至 +9%）、新开发者 −4%（−15% 至 +9%），两个置信区间都跨过零（METR, 2026-02）。METR 明确表示从参与者自述看，2026 年初的开发者很可能比 2025 年初拿到更多提速；原研究 19% 的点估计本身稳健，问题在“现在到底快多少”已无法用同一设计继续测量。

同一条曲线上的另一个数据源是 DORA——Google Cloud 每年发布的 State of DevOps 年度调查，每年数千名从业者作答，是行业里少有的把主观感受与交付指标（吞吐、稳定性）挂钩的长期资料：

年度 受访规模 AI 使用率 交付吞吐 交付稳定性
2024 约 3,000 人 75.9% 采用率增量与吞吐下降相配（−1.5%） 与稳定性下降相配（−7.2%）
2025 近 5,000 人 90% 采用率转为正相关 与稳定性仍为负相关

（数字来自 DORA 2024、2025 两份 State of DevOps Report。2024 那一行是当年让全行业沉默的一张表：75.9% 的受访者已在用 AI，同时模型回归估计显示 AI 采用率与交付吞吐下降、交付稳定性下降同时出现。2025 年：90% 的人在用，吞吐转正，稳定性仍为负。两份都是问卷而非实验，自述类数据要打折扣——2025 年那份“80% 以上自述生产力提升”属于同一类折扣对象，本文不拿它当独立证据。）

DORA 2025 报告里有一句像给本文余下所有论据落基的英文原句：“time saved in creation is frequently re-allocated to auditing and verification”（时间省在创作环节，经常被重新分配到审查与验证）。同一份报告的定性访谈里有受访者说得更直白：“Reading [another’s] code is so much harder than writing it. AI tools are increasing the rate at which people can churn out code that needs to be reviewed.”（评审别人的代码比写难得多，AI 工具正在提高人们批量产出待评审代码的速度；英文原句经 everywan 2026-09 对照 DORA 报告原文抓录核对，本文未能直接按页引用报告 PDF）。这条是剩余一切论证的地基：当产出的成本下降而审查的成本不随之下降，摩擦点就整体向审查环节移动。

这笔账在 2026 年 5 月被 DORA 团队折算成了钱。团队发布的 ROI（return on investment，投资回报）模型报告：对一个 500 人的工程组织，模型给出第一年约 1,160 万美元回报、约 840 万美元投入，回报率约 39%（净回报除以投入的口径）、回收期约 8 个月。三个数字本身不重要——它是模型，不是测量——重要在两处内部设定：其一，作为例子的组织被假设采用 AI 后变更失败率从 5% 升到 6%，这 1 个百分点记为每年 34.4 万美元成本，理由是“更高产量的变更可能压垮现有的部署管线与人工闸口”；其二，报告结论写道，最大回报“不是来自工具本身，而来自对底层组织系统的战略投入：内部平台的质量、工作流的清晰度、团队的对齐”。一份把“更多代码更快流动”折成钱的模型，第一笔负项记在审查与闸口的承受能力上（DORA《The ROI of AI-assisted Software Development》2026，关键数字与引文经 everywan 2026-09 转引，everywan 已注明其为模型假设而非测量）。同一份 DORA 2025 报告还有一句处方味很重的原话：“把小批次工作的纪律作为针对 AI 辅助开发风险的关键对策”。这两句合起来：能决定 AI 在工程里最后是赚是赔的变量，不在模型，而在审查与闸口的结构。

代码结构里已经看得见的痕迹

这种压力不只停在个人时间账里，也写进了仓库的长期结构。GitClear 对五年间 2.11 亿行变更行数据（2020–2024，覆盖多家大型企业仓库）做的报告显示：与重构（moved lines，即代码移动、重命名、提取公共代码这类整理动作）相关的变更行占比从 2021 年的 25% 下降到 2024 年的不足 10%；copy/paste 型变更行同期从 8.3% 上升到 12.3%，历史上第一次超过 moved code；“五行及以上代码克隆块的出现频率约为四年前的四倍”（GitClear, 2025）。重用代码的一个好处是缺陷修一处全体继承；克隆的坏处是同一个缺陷重复 N 份。这里必须记两笔账再往下推：其一，两项都是占比，如果新增代码总量本身在暴增——上一节的证据链正是这个方向——占比的下降会有一部分是分母效应，不等于重构绝对量减少；其二，2020–2024 同期还有远程办公、裁员、招聘收缩这些独立变量。GitClear 本身是卖代码重复度检测工具的分析厂商，属于有利信源，与对其他供应商类信源使用同一把尺（参照本文对 ISC2、XBOW、Anthropic 的处理）。方向上“克隆变多、整理变少”有多个独立度量交叉支持，但量级解释权留给更分散的数据。

基准测到的和它没测到的

这一节还得拆一件常被误引之物：基准（benchmark），即从真实任务裁出的自动化命题集。测量学上要先念一遍构念效度（construct validity）：一个测试测到的东西，和它声称要测的构念，是不是同一件事。

SWE-bench Verified（OpenAI 从 SWE-bench 的 500 道真实 GitHub issue/PR 任务里人工审核出的固定子集，2024 年 8 月定型，此后无按年分版）在整个 2024 年没有越过 50%：2024 年 10 月，Anthropic 公布 Claude 3.5 Sonnet（new）拿 49%，压过当时最高的 45%（Anthropic, 2024-10）。越过 70% 是 2025 年下半年的事：OpenAI 在 2025 年 8 月的 GPT-5 开发者公告里给出 74.9%（OpenAI, 2025-08），随后 Anthropic 的 Claude Sonnet 4.5 又把它抬高了一档。这些数字是同一个固定集上的先后测量，不是逐年版本的对比。到了 2025 年 9 月，Scale AI 发布 SWE-bench Pro：1,865 例（公开集 731、商业集 276、预留集 held-out 858），主动选用强 copyleft（传染性开源许可证）协议的代码库（有很高概率被排除出训练语料、抗数据污染）加上 Scale 私有商业仓库的真实任务，平均改动量 107.4 行、跨 4.1 个文件。同一批头部模型，全体掉到 20 多个点——GPT-5 公开子集 23.3%，商业私有仓库子集（276 条上的点估计）更低，仅 14.9%（Scale AI, 2025）。Scale 的直接结论：模型解决“未见过的真实仓库中问题”的能力仍很薄弱。2026 年 2 月，OpenAI 干脆宣布自家模型不再在 SWE-bench Verified 上评测，理由是它已日益受数据污染、不再衡量前沿编程能力（OpenAI, 2026-02）。

把这几段事实收成一个定价：降了一个数量级的，是“给定明确需求的一次性任务级代码产出”的成本；没有同等降价的是三件事——跨越陌生代码库做综合判断（Pro 基准公开子集 23.3%、商业子集 14.9%）、长期维护（GitClear 口径下重构与整理在萎缩）、审查与承担后果（DORA：时间流向审查而非消失）。**这三件没被降价的，恰好是安全工作里“检查类”之外的主力地带。**这个收束仍然依赖若干自述与模型类估计，后文会用另一类证据再来对一次。

二、安全两侧的不对称曲线怎么动

发现侧：一处空白被实名验证，连同它的自我设限

安全侧最先记下的能力跳跃来自 Project Zero。2024 年 10 月底，Google Project Zero 与 DeepMind 联合的 Big Sleep 项目宣布：他们的 LLM agent 在 SQLite 内——一个被多年 fuzzing（模糊测试，即向目标程序投喂自动生成的随机/半随机输入以图触发崩溃）扫荡过的主要数据库引擎——发现一个可利用的栈下界写（stack underflow）漏洞，且 fuzzing 长期没抓到：团队复验时按官方指引配置 AFL fuzzing，跑了 150 个 CPU 小时仍未再现（Project Zero, 2024）。先给这条记录画清边界：这是一处空白，一次验证所得；Big Sleep 团队自己写明，当下的专用 fuzzer 在部分此类问题上与 LLM agent 至少同效。值得记录的是它落进了 fuzzing 长期没覆盖到的那一小段（要读代码、要推测变量边界、要绕过环境缺 TCL 模块这类障碍），还在于发现时点：漏洞进入 SQLite 正式发布版之前就被修掉了，Project Zero 对此的辩护是“在软件发布之前找到漏洞，攻击者就没有竞争空间”。至于“发布前消灭”是否成得了普遍形态，取决于能持续部署在攻击面上的系统与人力，这个结论放在本节收束处，不由单个案例立起来。

一年后，AIxCC 决赛给出第二个数据点。2024 年半决赛，各队系统对合成漏洞的检出率是 37%、可修复率 25%；2025 年决赛，同一批队伍的检出 86%、修补 68%（DARPA, 2025）。两点先做清洗：半决赛与决赛的题目集、时限、计算预算不同，队伍也在这一年里大幅改系统，这两个数之间的差是赛制内的进步回执，不是可以直接外推的年度斜率；18 个非人为埋设的真漏洞里 12 个出在 Java 项目，这个分布反映的是赛制题库构成，读不出任何“跨语言能力”。赛制内保留的信息是清晰的：找到并修掉真实项目里的注入类漏洞，已经不需要人盯每一步。

紧接着是市场化的一层。XBOW 2025 年 6 月那篇爬榜记录是自主 agent 在野运行的一个夏天的截面（先把信源性质说清楚：这是被测对象自己的博客，XBOW 同时在卖“自主渗透测试”，未经第三方审核）：累计提交近 1,060 份；截至发布日的处置态构成一份快照明细：程序方已修复 130 份；已确认但未走到解决的合计 461 份——分诊（triage，即程序方确认有真实价值并列入处理；多为 VDP 类项目，确认占用但未走到修复）303 份、标为 new 33 份、待程序方复核 125 份；关闭态合计 453 份——重复 208、informative（程序方标记为“仅作信息记录、不作为缺陷处理”）209、不适用 36。三类相加 1,044 份，即“近 1,060”的明细账。厂商另写“约 45% 的发现仍在等待程序方解决”而未给构成与分母：461/1,044≈44%，与厂商那句“约 45%”在同一量级。近 90 天窗口内另有分级：54 个 critical、242 个 high、524 个 medium、65 个低危——四个数属另一分母，与累计快照不相加，推不出“上报质量”的单一结论。两个细节一并收进来：一是提交前仍有逐条人眼复核，HackerOne 明文约束自动化工具；二是这份快照读出的瓶颈位置——找到并写出报告的成本压得很低，四成多未决堆在程序方的分诊与修复那一头（XBOW, 2025）。

这半节合起来：发现侧的能力边界在向“目标明确、赛制清楚、验收可重放”的方向推进，XBOW 甚至证明它可以被卖成产品；边界之外仍站着两个不可让渡的角色——每条提交前的人眼复核，以及被那 461 份未决压着的程序方判断。

攻击侧的上限记录，与它的破绽

攻击侧能力上限的记录，来自最可能先知道的地方——模型厂商自己。2025 年 8 月，Anthropic 披露了用 Claude Code 实施的勒索行动（其口径为 “vibe hacking”，即以氛围编程的方式做入侵）：攻击至少 17 家目标，Claude Code 被用来自主执行侦察、凭据窃取、横向移动，甚至用窃得的数据计算目标可承受的赎金额度（有时超过 50 万美元）；同批报告里还有一名只会基础编程的用户，把 AI 生成的勒索软件以 400–1,200 美元一份转售他人（Anthropic, 2025-08）。三个月后的 2025 年 11 月，Anthropic 再披露一起其评估为高置信度国家层面支持的间谍行动：约 30 家机构为目标，agent 执行了 80–90% 的工作量，人类仅负责方向与验证（Anthropic, 2025-11）。这一份与 Forrester 的博客不是两个信源，Forrester 转述的正是 Anthropic 的同一份报告，读它只能读同一遍。这两份都是被调查方自行发布：Anthropic 在此话题上同时有“检测得到”与“威胁紧迫”两个立场收益，数字未经第三方核实，采信强度照此打折。到 2026 年 7 月，攻击面记录又进了两格：Sysdig 报告首例全 agent 化的勒索行动，Hugging Face 披露一起由其测试环境里一个 OpenAI 内部评估模型（cyber 拒答被放宽）驱动的入侵，OpenAI 称之为“unprecedented cyber incident”（Sysdig, 2026-07；OpenAI 声明, 2026-07；均经 Cisco AI Workforce Consortium 综述转引）。2026 年 6 月，五眼联盟的网络安全机构就 “AI 改变攻防时间尺度”发布过联合声明，措辞是“时间尺度不是以年计，是以月计”（Five Eyes agencies, 2026-06）。

同一批报告里最值得注意的一段落在边界上：攻击方也被同一个东西卡住——“Claude 时常夸张结果，有时凭空报告实际无效的凭据或把公开信息当作关键发现”，Anthropic 原报告明确把“操作员需验证 agent 声称的每一个结论”列为这类行动的现有约束（转述自 Anthropic, 2025-11）。攻击与防守卡在同一面墙的两侧：生成可以自动化，验证与后果承担这半边，两边都得留人。

生成侧的同质化：一个 bug 的 N 份拷贝

生产侧的曲线更冷，但有数据。当 agent 大量植入代码，GitClear 那个“克隆块四倍增长”读出另一个意义：同一个缺陷可能被同时写入几处互相独立的地方。如果缺陷来自某个被广泛模仿的补全模式，它会成片出现；fuzzing 对有变体的缺陷长期不敏感。Big Sleep 团队指出的正是这个：变体分析（variant analysis，即找出一个已知 bug 的同形近亲）过去靠人工排程，因此在他们看到的样本里，任何负担得起大规模扫描的公司都能做过去只有特定攻击者才做的那种同形近亲搜索。

更近身的物种是幻影依赖。Spracklen 等人的 USENIX Security 2025 论文《We Have a Package for You!》：对 16 个主流代码生成 LLM 生成 57.6 万个代码样本，统计出平均至少 5.2%（商业模型）和 21.7%（开源模型）的包名推荐是完全不存在于包仓库中的幻觉包（hallucinated package，即 LLM 编造出像是存在、包名完全合乎拟真规范、实际上不存在的依赖库名），合计 205,474 个唯一虚构包名（Spracklen et al., 2025）。社区给这个攻击方法起了名字：slopsquatting——抢注这些幻影包名，等 vibe coder 把幻觉装进来。到本文写作时（2026 年 11 月），这种做法仍主要停留在安全研究概念验证阶段，没有规模化的在野事件记录；且依赖解析本身早就不是新攻击面——typosquatting 靠拼写抢注、event-stream（2018）与 ua-parser-js（2021）的供应链投毒、Birsan 2021 年披露的 dependency confusion 各占一类老位置。新的是名字的来源：包名第一次由模型批量生成，且生成速度远高于人工维护者的反应速度，攻击面没有变，攻击面入口的规模变了。

边界的另一面：完整的一套反面证据，不能只引好的一半

把前两半截面合起来之前，先把对自己不利的那一半摆全：METR 的对照试验说明，在质量标准高、隐性要求多、维护者本人熟悉的仓库里，用 AI 的人反而更慢；Big Sleep 团队自己声明“当下专用 fuzzer 至少同效”，那处空白是孤例而非版图；SWE-bench Pro 在私有仓库子集上的掉分说明模型在没见过的真实工程组合上明显偏弱（点估计落在 276 条上）；Anthropic 的间谍行动报告写明攻击方也要“逐条验证 agent 的声称”；XBOW 的近 1,060 份提交，每一条都先经自家安全分析师复核再发出。合起来，到 2026 年：自动化能力在“目标明确、提示清晰、验收可重放”的任务上节节推进；在“需要自有领域判断、长链推理、并对结论负责”的任务上，控制节点仍由人占据——且攻防两侧的报告都把这个环节写成需要持续进行、无法一次完工的工作形态。

成本没有随之下降的那一层

这几条曲线并到一处：漏洞发现与利用的边际成本确实顺着一整条谱系降了——原本要靠资深研究员直觉的那一小段空白，agent 已在一处先例上越过去，赛制内又把“找到并修掉”降到了每任务 152 美元的算力与云成本量级；但裁决“是否要修、修法是否引入新风险、够不够 24 小时上报门槛、补丁是否发布”这一系列环节的成本没有随之下降。XBOW 明细账里 461 份已确认未决的提交、Big Sleep 自己写“专用 fuzzer 至少同效”、攻击方那侧“逐条验证”——它们收敛在同一个位置：裁决定价没有被自动化定价追平。这里本文只把话说进证据撑得动的范围：已证的是“没有随之下降”，至于是否高于 2025 年的水平，手头没有能直接测它的时序数据，是判断不是测量。

三、岗位的定价：谁的名字被点名，谁的钱在动

入口端先裂开

这一节先从小口进。Stanford Digital Economy Lab 团队用 ADP 的百万级薪资流水数据（覆盖美国 2024–2026 年间大量企业的实际发薪记录）做的工作论文（2025 年 8 月首版，2026 年 8 月修订版）记录到：到 2026 年 6 月，AI 高暴露职业里 22–25 岁劳动者的就业水平比“按其低暴露同龄人的轨迹推算的基线”低 19%，较首版发布的 13% 进一步扩大；降低主要来自招聘渠道的收缩而非辞退增长（Brynjolfsson, Chandar & Chen, 2026）。作者自己把结果框定描述性事实而非因果估计。放在岗位的账上，这个断裂不是安全开发独有，它发生在所有“新人第一份工作”落在 AI 高暴露地带的职业，安全开发在这类职业里，入口端受伤的方向一致。

ISC2（全球安全领域最大的专业组织与认证机构，每年做从业者大调查；先标利益相关方身份：缺口叙事与认证收入直接相关）的 2024 年 Cybersecurity Workforce Study 给出另一半：全球安全岗位在职约 550 万人，行业估计需要量约 1,020 万人，缺口 480 万，比上一年扩大 19%（1,020 万是建模估计而非需求记录）；同一份报告里，LinkedIn 数据显示全球安全岗位发布量同比持平或下降；31% 受访团队没有任何初级岗位成员，团队技能缺口前五为 AI/ML（34%）、云安全、zero trust、取证与响应、应用安全（ISC2 2024 study via ComputerWeekly, 2024）。“31% 没有初级岗”在时间序列上要谨慎：安全岗历史上大量从业者从运维、开发横向转入，这一格可能本来就是截面常态，ISC2 没有给出可对比的往年数据，它证明“当下入口窄”，不证明“入口更窄了”，除非后续年份的同题数落在更糟的方向。美国 long-run 前景（information security analysts，2023–2033 年预计增长 33%，BLS 预测经 LHH 2026 转引）是第三条相互独立的证据，方向向上但属于十年期概数。

需求侧：谁在招、招什么

入口端的裂开是供给侧的事，回应第三节题面的付费意愿，要拿招聘数据正面回答。2026 年 8 月，Cisco 创始发起的 AI Workforce Consortium（成员包括 Accenture、Google、IBM、Microsoft、SAP、Indeed、Cornerstone、Eightfold、Intel——多数在卖 AI 或安全产品，按本文同一把尺标注为厂商联盟口径）发布了对 G7 国家网络安全岗位的专项报告（岗位数据来自 Indeed 需求端记录与 Cornerstone 追踪 12 个月数据），直接指向这个行业的定价结构（AIWC, 2026-08）：

  • 岗位总量：G7 网络安全岗位需求 2025 年 10 月–2026 年 3 月同比涨 9.5%，前一个半年（2025 年 4–9 月）涨幅是 6.8%，趋势在加速。这把 ISC2 那个“建模需要量”换成了需求端记录。
  • 技能要求的变化：要求 AI 技能的网络安全岗位占比，从 2024 年 10 月–2025 年 3 月的 14.2% 翻倍到 2025 年 10 月–2026 年 3 月的 28.5%，最近一个月为 29.7%。高流量岗位（security engineering、cloud security、detection & response engineering）里正在出现一组高频复现的五项“agentic 技能层”：Python、prompt 与 context 工程、AI security、agent 编排、MLOps。这是“招聘要求里 AI/agent 相关条目的变化”最直接的公开记录：一年翻倍，说明雇主在把 agent 相关能力写进岗位定义，不是在口头上。
  • 资历结构上移：同一窗口，senior 岗位发布量涨 65%，junior 岗位仅涨 5.9%。“缺口 480 万”式的总量叙事在新数据里折成一句不同的话：总量在涨，涨的部分几乎全在资深端。
  • 雇主最想要的与最缺的：Cisco 2026 年 5 月对 30 个市场、14 个行业 8,000 名安全负责人的调查里，“AI 加持的防御”（36%）与“缩短检测响应时间”（32%）排在两年期投资优先项的前两位，“投资于人”与威胁情报并列第四（25%）；49% 的受访负责人把“对 AI agent 的实操经验”列为初级候选人最难补上的一项能力。（Cisco, 2026-05 via AIWC）

不完美的地方也说清楚：这组数据是 G7 的记录，中国的安全岗位发布没有同口径的公开数据，本文在第四节用雇主类型猜测对齐了一下；数据横跨招聘平台与厂商联盟，口径改动与分类边界可能影响精度；时间窗口最多两年，趋势的连续性还得分季度看。四条数据指向同一个格局：总量在涨、AI 相关要求在翻倍、涨的岗位几乎全在资深端、入口端在断。这一组合与 Stanford 的发薪数据、ISC2 的截面互相独立，构成第三节需求面的底座。

贬值与升值：用导言里那条判据重新排一遍

贬值的直接证据，落在判据前两问能回答的任务上。把静态扫描（SAST，static application security testing，不运行程序、对代码做规则化缺陷模式分析）与依赖扫描的告警做初判、把一段 diff 判为真或假阳性——判定可重放（复现脚本重跑可得同一答案），成本是一份已存在的扫描规则集，两项答案都是“能”。手工复现某个 CVE、写匹配规则、为一次扫描结果写一页报告：输入明确、输出可判定，agent 的替代速度最快。AIxCC 的数字在这里只能当赛制内证据用，不能当劳动市场证据用：每任务 152 美元是赛制折算的算力与云成本量级，86% 检出率是对注入合成漏洞的检出，两数都在说明“受控任务里机器可以独立走完”，分诊劳动的实际价格变化，手头没有任何公开测量。XBOW 2025-06 那个截面的另一面（461 份未决压在程序方）同样读作：检查端被压低了，分诊端的价格还没被自动化定义掉。

升值的部分落在第三问上。一，验收与放行。同一个 agent 产出的 diff，初判属于前两问，两问都能回答；但“这份 diff 对应的功能在未被显式列出的场景下没有引入新的信任边界”这一步没有可重放的检查，且放行错一次的后果要有人认领。检查结果属于第一个“能”，放行决定属于第三问的“谁”。二，架构级威胁建模。威胁建模与信任边界（trust boundary，即数据或权限从低信任一侧流向高信任一侧的切面）判断在每个新系统上的边界与约束都不同，不在任何已存在的可重放检查覆盖范围内，agent 可以代跑 checklist，不能替结果署名。三，供应链完整性。SBOM（software bill of materials，软件物料清单）、slopsquatting 检测、agent 输入链审查（prompt injection——攻击者把指令藏进 agent 必然读到的内容里：网页、README、代码注释、issue 文本——让 agent 把攻击者的话当成开发者的命令。当代码仓库本身就是 agent 的输入源，恶意说明文档、一段精心放置的注释、一个抢注来的幻影包，全部变成对 agent 的潜在控制信道）：同属没有现成检查表可覆盖的问题。AIxCC 的系统能修被指出来的漏洞，但“替我们的 agent 决定该不该有这个权限”的角色没有现成工具可代。

制度端：为什么这个格子还没被让渡

现在换一份更硬的证据。这不是经济学的推断，是写在法规和采购文件里的。

欧盟一侧。Cyber Resilience Act（网络复原法案，Regulation (EU) 2024/2847）第一批义务在 2026 年 9 月 11 日生效：对在欧盟市场投放“带数字元素产品”的制造商，无论产品上市早晚，凡发现“主动被利用漏洞”（actively exploited vulnerability，即有可靠证据证明攻击者在真实攻击里利用了该漏洞）或严重安全事件，须在 24 小时内（CRA 第 14 条）向 ENISA 与所属成员国 CSIRT 提交早期警示，72 小时内交漏洞通知，最终报告在缓解措施可用后 14 天内交付；2027 年 12 月 11 日起全部义务（含安全要求、CE 合规与持续漏洞管理）适用于此后上市产品；CRA 的课罚对象写得很具体——是 manufacturer，法规把它明确定义为“自然人或法人”，最高可罚全球年营业额的 2.5% 或 1,500 万欧元（Kirkland & Ellis, 2026）。同一批义务还有一枚必须在首次出现时展开的词：CE 标志（conformité européenne，产品投放欧盟市场前必须自证合规并贴上的标志，CRA 把安全要求纳入了它的适用范围）。“谁在哪里被点名”就写在这两条线上：24 小时义务的签署实体是公司，2.5% 罚款落在公司头上；而无论署名的是公司还是它的负责人，报告与追责文件里都得写上一个具体的名字——法规的制造商定义里没有 agent 这一格。

美国一侧的曲线出现了一个不多见的拐弯。从 EO 14028（2021 年 5 月，改善国家网络安全行政令，指定 NIST 出安全开发标准）→ NIST SP 800-218《Secure Software Development Framework》（2022 年）→ OMB M-22-18（2022 年 9 月，要求联邦软件供货方自我声明遵循 SP 800-218）→ CISA 的证明表（2024 年 3 月，Common Form）要求供货方高官签署声明，联邦新闻网当时的报道点明这会落在 CEO/COO 级别——问题从“拿出证据”变成“谁断言这些证据属实”（Federal News Network, 2023）→ EO 14306（2025 年 6 月，撤回 EO 14144 大部分内容但保留 SP 800-218 的 NIST 指导地位）→ OMB M-26-05（2026 年 1 月 23 日）撤回 M-22-18/M-23-16 的自我证明强制，改为风险导向：各机构仍须盘点软硬件资产、须有与风险等级匹配的保证（assurance）体系——指从资产识别到控制有效性验证的一整套“证明安全成立”的体系结构，未写到 checklist 的颗粒度——CISA 证明表转为可选项，云上保留“SBOM 可即需提供”条款（Wiley, 2026）。同期，NIST 把 SP 800-218A（面向含 AI 组件的 SDLC）以正式版本发布，方向未变，颗粒度在换。

再写一句最难写、必须直说的话：M-26-05 这份撤回对本文的命题是反例，把它绕过去就是在骗自己。撤回拿掉的确实是证明层——一家供应商不再被强制填表、高官不再被强制签字。但同一份公文保留了资产盘点、与风险等级匹配的保证体系这两条绝对义务，出事时的追问仍然要落到“这家供货方为什么认为自己是安全的”。这一段是作者判断，依据如下：checklist 是证明层，撤回的成本是修一次采购文件；而“出事后谁认后果”落在侵权与采购追责结构里，移除它需要的是立法或判例层面的改动，成本在另一个数量级；CRA 这边从未建立过 checklist——它的 24 小时义务从第一天就落在 manufacturer 名下。两者可以同时成立。这一段判断的可证伪条件：出现一个监管文件（采购规则、判例、执法和解书）明确接受“机器自主放行/署名并承担后果”且 manufacturer 名下不再实质落地，它就作废。把对照表摆到 2026 年年末：证明层松、责任层两侧都紧。

签名能不能被廉价化

现在处理命题的最强反论。它可以这样表述：如果“担责”在法律与合规的全部功能只是“配一个可追责的具名主体”，那么市场会把这个位置配置给最便宜的合法人选——一个刚毕业的合规专员、一名持证但代码不熟的审计员、甚至外包给一家签名服务公司；而入门评审已经大量走过场，这恰好说明市场没有把它当成稀缺的东西来定价。挤在前面的另一个补刀是：安全岗位日常产出的是规范文档、评审意见、扫描报告、上报文书，全是文本，而文本生成的成本在第一节已经降了一个数量级——劳动内容最像 LLM 擅长处的一群人，凭什么被认为更安全？

这两刀必须拆开作答，而且回答的一半要标为判断。

文本生产那一刀先接。评审意见与扫描报告的文本部分确实已经降价，谁再把“写报告”当成核心工种都是错的。但安全劳动在价值链上的交换物从来不是文字，而是“文字背后有没有人对着刚才那个具体系统看过一眼”这件事——一篇 agent 生成的威胁模型与一篇人签过的威胁模型，在结构上可以完全等长，市场付款的是第二份里那个“我看过”的承诺。这条分界不随文本成本的下降而移动，并且作为判断有需求侧的支撑：AIWC 报告里翻倍的是“要求 AI 技能与监督职能”的岗位，没有一组岗位把要求改成“无监督的书写产能”。

签名廉价化那一刀，作答分三层。第一层，签名者的个人后果不对称：Common Form 把“这些证据属实”写成要求约束公司的高管具名——M-26-05 之后这张表已转为可选项，这里引的是它设计出来的落点，具名的层级被定在 CEO/COO，声明不实的后果落在具名者身上而不只是公司的法务头上；审计界的签字合伙人制（只有出资并具备资历的合伙人能具名签字）是一个至少运转了一百年的机制原型，把“具名者的个人代价”与“具名者的资历门槛”绑在同一处。第二层，便宜签名会被定价记录惩罚：走过场的入门评审不是罕见现象，它是有结果的——IBM《Cost of a Data Breach 2025》里，63% 的被入侵组织没有或仍在建 AI 治理政策，出现 shadow AI（渠道外引入的工具）的组织平均多付 67 万美元入侵成本，遭 AI 接入面失陷的组织 97% 缺基本访问控制（IBM, 2025 经 Cisco AIWC 转引；IBM 同时出售安全服务与工具，利益标注照旧）。市场确实还没有系统性给“签名资历”单独定价，这些数是治理后果的总账。第三层，担责角色的定价。被误用的证据先排除：information security analysts 的工资分布（O*NET 转 BLS 2025 年 5 月 OES：中位约 12.9 万美元，90 分位与 25 分位之间带宽约 10 万美元）主体是安全分析师与 SOC（security operations center，安全运营中心）一类岗位——按本文自己的二分，这批主体落在被判贬值的那一侧，拿它给“放行角色”定价是层级替换。带“认领后果”具名的角色另有截面——CISO（chief information security officer，首席信息安全官，为安全后果具名担责的在编高管）：IANS 与 Artico Search 第六期薪酬基准报告（2025 年 11 月，美加 550 位 CISO）显示 2025 年总报酬平均涨 6.7%，同期安全预算增速放缓到 4%；报酬带通常 25 万至 70 万美元，最高 1% 超过 320 万美元、约为中位数的 10 倍；过半企业为 CISO 投保董责险（D&O，覆盖高管因职务行为被追责风险的保险），比例较上一年 40% 继续上升——投保这件事本身先把敞口承认了下来，下一段还要反过来用一次（IANS & Artico, 2025-11，经 MSSP Alert 与 ASIS Security Management 2025-11 转引；两家分别卖咨询与猎头，有利信源）。

三层作答之后，残余的不确定性写在明处：CISO 是角色、截面、一年同比，成不了“签名资历”整体的定价，更测不出门槛时序；而且 CISO 与安全开发岗上那个放行签名人是相邻角色、不是同一格，这处证据只能给方向，给不了这一格的价格。撑得住的“变重”表述因此降半档：担责一端的责任密度在上升、单位人头承担的后果在变大——CISO 被排进高管序列并按高管定价、企业为这类职务风险投保渐成惯例、放行错一次的代价有 IBM 总账作底，第三问那一格的价格仍由资历、后果与缺口三个变量决定。“报酬与门槛随后果一起上抬”保留为判断；守住它的那条观察，与第四节末的第三观测项是同一条：放行与签名类角色的薪酬与资历被压到入门岗水平，本节即告作废。

最锋利的那版反论必须正面写完，它无需推演。审计业就是“签名被标准化、打包、按件出售”的现成形态——事务所出售的正是合伙人的签字，资历门槛与个人后果没有挡住产业化，反而构成它的准入条件；个人后果的常规处理也非硬扛：董责险与职业赔偿险把它折成保单，签字费率与承保问卷挂钩，D&O 覆盖率一年内从四成爬过半，就是这种转移在安全岗位上的量级。顺着走，市场最优解仍是找最便宜的可承保者，签名可能整个变成一份可报价的风险敞口。它止步于两处，性质不同，都标为判断。一处是方向一致的推论：保险与产业化吸收的是个人承受力，准入条件照旧筛掉大多数人，签字于是集中到更少、更贵、更可查的一小撮人（审计业的合伙人远少于会计从业者；这里的“小”指签字权的集中，不是行业总人数）。另一处是真正的止步：“有个人看过”没有被吸收掉，只被挪进保费与条款，承保问卷问的仍是“谁看过、出错怎么处置”——这一处依据的是保险业的一般做法，本文没有找到可直引的问卷原文，按判断读。若不止步——市场接受无差异的批量授信签名、承保不再区分看与没看——“签名贵”就只剩资历与道德一层，本文的定价结论相应下调。

组织形态：闸门在哪一侧失效

安全职能过去的形态是“门”：日常开发在门的一侧排队，安全团队在门的另一侧盖章。DORA 2025 的那句 “AI doesn’t fix a team; it amplifies what’s already there”（AI 不会修复一个团队，它只会放大原有的一切）是这个翻转的总结句：当 agent 把交付推到极限，能拦住爆掉的不是门，是整个平台——带强测试、成熟版本控制、短回滚时间、agent 身份与权限治理的开发平台。ISC2 技能缺口前两名（AI/ML 与云安全）与 DORA 连续两年把平台能力列为交付变量的方向一致；两条线索同向，但云安全技能缺口与威胁建模需求之间隔着一步推理，本文不把这一步当结论。稳得住的表述是：岗位外形长向“平台化”，工作对象长向 agent 权限与输入链的枚举，而不是长向更多的盖章。

宏观的雇主预测在这个翻转里有对应。WEF《Future of Jobs Report 2025》汇总 1,000 多家受访企业的判断：到 2030 年，平均 39% 的受访者现有技能集合将需要转型或强化训练（口径为主语是技能集合，非劳动者人数；WEF, 2025）。技能组合整体换血的年代，最受伤的是只在旧组合里有一技之长的人。

四、想进场的人应该准备什么

前两节的判断汇聚成关于岗位的一句话：它兼具总量上涨（AIWC +9.5%、BLS 33%）与入口收缩（Stanford 的 −19%、junior 发布量只涨 5.9%，以及 ISC2 那个只能读作当下截面的 31%）——与导言口径相接：薄的是团队内检查一环的人数。给进场者的第一个判断随之形成：不要把全部火力放在“安全公司校园招聘”这扇最宽的门里排队，而是用各阶段可验证的产出绕开排队——一份公开的威胁模型、一组自己评审 agent 输出的原始记录，比一份只列课程名与 GPA 的简历更有分量。四个阶段按这条策略设计，每个阶段付给时间预算、过关判据、最可能失败的信号与走不通时的去处。先给一句覆盖全文的限定：本文引用的劳动力与制度证据几乎全部来自美欧市场（ADP、BLS、G7 岗位追踪、CRA 与 OMB），中国市场的招聘数据本文没有找到同口径公开来源，第四节只能以雇主类型处理这个落差，无法用数字支持。

阶段零：把系统基础做扎实（大学低年级，约一学期，150–200 小时）

要做的事：一门系统级语言写透（C 或 Rust，手动感受内存管理、并发、系统调用）＋ Python/Go 一门作日常主力；把一本 CSAPP（《深入理解计算机系统》）量级的教材做完。理由：agent 能写出正确结构，但审它的人需要一个系统级地图，问题落在低层时尤其如此；SWE-bench Pro 的数据（GPT-5 商业子集 14.9%）说明模型在“冷门仓库、跨文件真实改动”这一档仍大面积失效，这两类题给人留着。过关判据：完成并公开一个有 CI、有测试覆盖、有 README 记录设计取舍的小项目，且 commit 历史能讲出至少三次“为什么这样取舍”。失败信号：项目跑起来了，但被追问任何一处“为什么”都答不出取舍前的备选项——这说明是在抄装而非在建造，先退回来补课。走不通时的去处：这一阶段的产出（系统级工程习惯）对任何后端、平台、嵌入式岗位都通用，沉没成本接近零。

阶段一：从写代码的人变成读代码的人（约一学期再加一个月，250–300 小时）

进入岗位的第一道门槛不在写。做法：选 1–3 个中大规模开源项目（10 万–100 万行级），完成以下各一项：

  • 追读一个真实 CVE 或安全修复的完整 commit 链，写下带 diff 标注的阅读笔记；
  • 写出某项具体安全性质（某输入是否被校验、某路径是否可达）在项目里于何处实现的第一手笔记；
  • 把同一任务交给 agent，记录自己与它的结论差异。

其中的“猜想同型漏洞”一项先交代清楚价值在哪：variant analysis 在第二节已确认是 agent 能干的事，机器产出的同形近亲列表不必人工排程补齐人工列表的量；这一项训练的产出不是稀缺能力，而是对“是否真的读懂了这段代码最原始的形状”的一次可核对检验——agent 能不能把这个变体猜想证伪，恰好检验读的人是有真模型还是在复读。差别在责任：agent 产出的猜想错了可以丢弃，漏掉的变体的后果无人认领；训练这一项要养成的，正是对“猜想是否成立”留一份可以被挑战的书面判断。过关判据：一篇带 diff 标注的报告（2,000 字左右第一手笔记）公开发布；对陌生的 3 条 commit，能在不查资料的情况下指出哪条引入了新的信任边界。失败信号：写完两篇报告，无法回答任何一位读者的追问——这是复读的形状；如果发现读不进去，不必硬撑：阶段三的对照测量并不要求先完成这一项。走不通时的去处：代码精读能力直接转平台工程、SRE 与安全产品工程。

阶段二：把威胁建模与设计评审做成正式产物（约一学期，200 小时以内，量级说明见下）

从这里开始才是岗位的本体。先了解 STRIDE（Spoofing 冒充、Tampering 篡改、Repudiation 抵赖、Information Disclosure 信息泄露、Denial of Service 拒绝服务、Elevation of Privilege 权限提升，微软的六类威胁分类）等分类法，并明确这类分类法的主要用途是提示枚举而非结束讨论。核心成绩是完成 2–3 份真实威胁模型，每份至少含：一张信任边界图；按 STRIDE 逐类枚举的威胁；对每条威胁给出一项归属（可由测试验证、可由静态工具发现、抑或只有人工判断——导言里那条三问判据在此落地）；一条对“按当前制度（以 CRA 的 24 小时门槛为参照）应当何时上报”的判断记录。公开发布：可验证性来自“完整过程而非一张结果图”，读者可以核到信任边界图是不是真来自这套代码。工作量级：每份约 40–60 小时，量不大但时间投入产出比在整个路线上最高。过关判据：把一份威胁模型交给一个完全不在项目里的工程师，他能据此列出三项 bypass 尝试。失败信号：威胁清单越写越长而信任边界图始终是“现成模板复制”——这是在产出表格而非在枚举攻击面；补一周的对抗性习题再回来试。走不通时的去处：威胁建模在风险合规、SRE 的容量与依赖规划、安全产品（威胁情报、扫描器）岗都直接复用。

阶段三：成为会审 agent 的人（约一学期，150 小时，与阶段二并行亦可）

做三件事：

  • 对照测量：把 GitHub Dependabot 一类自动修复管道与 agent 输出并排跑，记录两者的分诊吞吐与误报率；
  • 评审一批 agent 产出的 diff（建议 100 条），每条记三个字段：功能是否正确交付、信任度（1–5）、自己哪一步因没看见而误导了 agent——这份原始数据最难获得，也最稀缺；
  • 选一份公开的 agent 运行实践（XBOW 博客或 AIxCC 开源的七个系统之一），写一篇指出其未覆盖的问题的细读笔记。

过关判据：100 条评审记录公开、字段可机读；同行拿去至少能复核出两条与原结论不同的判断。失败信号：评语全是“对/不对”二值而说不出放行的理由——导言里那条判据正在要求写下的正是第三问的答案。走不通时的去处：这套记法本身就是 AI 治理岗位（model risk、agent 权限运营）的入门作业。

顺带交代证书的位置：OSCP、CISSP 一类考核没有因 agent 时代失去价值——证明底线能力、满足合规筛选的功能仍在，且 AIWC 报告里招聘端维持着对认证的过滤习惯。它们是入场券而非差异化：考核测的是确定已知边界内的东西，而这一行此刻稀缺的恰在边界之外。同一个道理反过来决定禁忌清单：凡是努力可以兑换成“确定已知边界内成果”的投入——背 CVE 编号、刷一千个复现脚本、追一个厂商 dashboard 的用法、在没有一手数据的情况下写能力自述——都在贬值通道里。CTF 值得保留的位置是阶段一的最低配训练器，不是岗位。2025 年以来的记录（Anthropic、XBOW、AIxCC）已经把“输入明确、输出可判定”这一格的坐标标得很清楚，在这一格里和机器拼速度是整条路线上最明确的一处浪费。

中国市场的雇主类型

三条路在四类雇主那里的形态各不相同。甲方内部安全团队离业务最近，威胁模型的“业务边界枚举”在这里价值最高，但公开产物普遍受限，评价标准偏向业务理解与跨部门协作；乙方安全厂商在交付制下工作，产出物要能脱敏复用为产品与方法论资产，公开写方法比写具体资产可行；平台型公司（云厂商与超级应用的安全部门）最接近本文说的“平台化”形态，agent 权限治理与输入链治理在这类公司最先落地，对阶段三那类评审记录最敏感；出海业务的合规岗对接 CRA 与欧盟之外主要市场类似制度，制度端与第三节的证据链直接相连。公开发布的威胁模型在保密制下的可行变体：对真实资产做抽象化——把系统名换成“某交易中台”，把边界关系与方法论保留——这条做法在四类雇主下都能走通。

什么会推翻这份判断

一个判断要立得住，就要写清什么观察会推翻它。三个观测项，注意前两个是对命题的否定可能性与确证项，第三个专门对着“变重”这个断言。第一，能力侧：如果 2–3 年内 agent 系统在 SWE-bench Pro 那一档构念（未见过商业代码、真实工程形态）上稳定越过 70–80% 且有正式方法记录，同时出现一家公司让 agent 承担完整的合规审计与签发、监管机构无异议——“判断必须落在人身上”的经济学根据就松动了。第二，制度侧的反向观测：如果 agent 治理（agent 身份、权限边界、审计记录）被足够多公司列为正式预算线，并持续出现在安全岗位招聘要求里——本文的方向不变，只是第三节的升值栏继续上抬（IBM 2025 年的数据里，63% 的组织还没有把 AI 治理建成正式政策）。第三，对着“变重”断言的否定观察：如果放行与签名类角色的中位薪酬相对既有分位走低、岗位的资历要求被改为“任何持证者”、或签名服务被做成纯标准化的外包输入，第二节与第三节合建立的“承担后果不得廉价化”就是错的，这份成长路线的定价逻辑也随之作废。三个观测项都可被观测，这个判断因此是可改写的判断，而不是宣言。

尾声

把全文收成一句可操作的话：agent 吃掉的是安全开发里“检查”那一层的工时，而“承担后果”那一层在现有的法律与采购接口里仍然需要一个名字。往后看到任何“AI 能做 X”的说法，先问两件事——X 的对错能不能用一次可重放的检查收回，检查收回不了的那半边出了事故谁名下认领。这两个问题是从这篇文章里能带走的东西：它们决定一段安全劳动是沉没成本，还是一份值得付钱的工作。

参考资料

  1. DARPA, AI Cyber Challenge marks pivotal inflection point for cyber defense, 2025-08-08. https://www.darpa.mil/news/2025/aixcc-results
  2. XBOW, The Road to Top 1: How XBOW Did It, 2025-06-24. https://xbow.com/blog/top-1-how-xbow-did-it （厂商自述，未经第三方审核；本文所有 XBOW 数字取自同一份快照、全文只用这一个口径，45% 的构成与分母由明细账重算得出）
  3. Anthropic, Detecting and countering misuse of AI: August 2025, 2025-08-27. https://www.anthropic.com/news/detecting-countering-misuse-aug-2025
  4. Anthropic, Disrupting the first reported AI-orchestrated cyber espionage campaign, 2025-11-13. https://assets.anthropic.com/m/ec212e6566a0d47/original/Disrupting-the-first-reported-AI-orchestrated-cyber-espionage-campaign.pdf （Forrester, Anthropic Catches Attackers Using Agents In The Act, 2025-11-17, https://www.forrester.com/blogs/anthropic-catches-attackers-using-agents-in-the-act/ 为同一报告的转述，非独立信源）
  5. Sysdig Threat Research Team, JadePuffer: agentic ransomware for automated database extortion, 2026-07. https://www.sysdig.com/blog/jadepuffer-agentic-ransomware-for-automated-database-extortion ；OpenAI 关于 Hugging Face 安全事件的声明, 2026-07-21. https://openai.com/index/hugging-face-model-evaluation-security-incident （两条均见 Cisco AI Workforce Consortium 2026-08 报告第 1.1 节的综述性转引）
  6. Five Eyes cyber security agencies, Joint statement on the AI shift in cyber threat, 2026-06-22. https://www.ncsc.gov.uk/sites/default/files/2026-06/Five-Eyes-cyber-security-agencies-statement-ai-shift.pdf （经 Cisco AIWC 2026-08 报告转引）
  7. Google Project Zero（Big Sleep 团队）, From Naptime to Big Sleep: Using Large Language Models To Catch Vulnerabilities In Real-World Code, 2024-10. https://projectzero.google/2024/10/from-naptime-to-big-sleep.html
  8. METR, Measuring the Impact of Early-2025 AI on Experienced Open-Source Developer Productivity, 2025-07-10. https://metr.org/blog/2025-07-10-early-2025-ai-experienced-os-dev-study/
  9. METR, We are Changing our Developer Productivity Experiment Design（含 SemiAnalysis 4% 提交量的转引、二轮对照试验与置信区间）, 2026-02-24. https://metr.org/blog/2026-02-24-uplift/
  10. Peng, S., Kalliamvakou, E., Cihon, P., & Demirer, M., The Impact of AI on Developer Productivity: Evidence from GitHub Copilot, arXiv:2302.06590, 2023. https://arxiv.org/abs/2302.06590
  11. Google Cloud / DORA, Accelerate State of DevOps Report 2024（约 3,000 受访者、75.9% 使用率、吞吐 −1.5% 与稳定性 −7.2%）. https://services.google.com/fh/files/misc/2024_final_dora_report.pdf
  12. Google Cloud / DORA, Accelerate State of DevOps Report 2025（近 5,000 受访者、90% 使用率、吞吐转正相关而稳定性仍负；英文原句与定性访谈引文经 everywan 2026-09-27 抓录核对, https://everywan.com/en/blog/ai-speeds-up-what-you-write-not-what-you-can-deploy ）
  13. Google Cloud / DORA, The ROI of AI-assisted Software Development, 2026-05（关键数字与内部假设经 everywan 2026-09-27 转引，everywan 已注明其为模型假设而非测量）
  14. GitClear, AI Copilot Code Quality: 2025 Look Back at 12 Months of Data, 2025. https://www.gitclear.com/ai_assistant_code_quality_2025_research （GitClear 同时出售代码重复度检测服务，为有利信源）
  15. Scale AI, SWE-Bench Pro: Raising the Bar for Agentic Coding, 2025-09-19. https://scale.com/blog/swe-bench-pro
  16. Anthropic, Raising the bar on SWE-bench Verified with Claude 3.5 Sonnet（49% 与此前 SOTA 45%）, 2024-10-08. https://www.anthropic.com/news/swe-bench-sonnet
  17. OpenAI, Introducing GPT-5 for developers（SWE-bench Verified 74.9%）, 2025-08-07. https://openai.com/index/introducing-gpt-5-for-developers/
  18. OpenAI, Why OpenAI no longer evaluates SWE-bench Verified, 2026-02. https://openai.com/index/why-we-no-longer-evaluate-swe-bench-verified/
  19. Spracklen, J., Wijewickrama, R., Sakib, A.H.M.N., Maiti, A., Viswanath, B., & Jadliwala, M., We Have a Package for You! A Comprehensive Analysis of Package Hallucinations by Code Generating LLMs, USENIX Security 2025. https://arxiv.org/abs/2406.10279
  20. Alex Birsan, How I Hacked Into Apple and Microsoft by Exploiting “Dependency Confusion”（dependency confusion 的原始方法学记录）, 2021-02. https://medium.com/@alex.birsan/dependency-confusion-4cfa03d52be （二手转引，为给“依赖解析不是新攻击面”一条作定位）
  21. Brynjolfsson, E., Chandar, B., & Chen, R., Canaries in the Coal Mine? Six Facts about the Recent Employment Effects of Artificial Intelligence, Stanford Digital Economy Lab working paper, 2025-08首发、2026-08-12 修订（−19% 一数取自修订版）。 https://digitaleconomy.stanford.edu/publications/canaries-in-the-coal-mine/
  22. Clare McDonald（ComputerWeekly）, Cyber workforce must almost double to meet global talent need, 2024-09（转述 ISC2 2024 Cybersecurity Workforce Study：缺口 480 万、31% 团队无 entry-level、技能缺口前五）。 https://www.computerweekly.com/news/366610264/Cyber-workforce-must-almost-double-to-meet-global-talent-need
  23. AI Workforce Consortium（Cisco 发起，成员含 Accenture、Google、IBM、Microsoft、SAP、Indeed、Cornerstone 等）, Spotlight report: AI Agents and the Impact on Cybersecurity, 2026-08（一手页面已核对：G7 需求 +9.5%、AI 技能条目 14.2%→28.5%、senior +65% 对 junior +5.9%、Cisco 2026-05 对 8,000 位负责人调查、IBM Cost of a Data Breach 2025 数字均为本报告第 1、2 节直接收录）。 https://www.cisco.com/site/m/ai-workforce-consortium/agent-cybersecurity-impact.html
  24. IBM Security and Ponemon Institute, Cost of a Data Breach Report 2025, 2025-07-30. https://www.ibm.com/reports/data-breach （本文引用的 AI 治理数字经第 23 条报告转引，IBM 同时出售安全服务，为厂商信源）
  25. O*NET OnLine（U.S. Department of Labor）, National Wages 15-1212.00 – Information Security Analysts, BLS 2025 年 5 月 OES 工资数据一手转载（中位 $129,180、25 分位 $97,810、90 分位 $199,850）。 https://www.onetonline.org/link/localwages/15-1212.00?st
  26. Kirkland & Ellis LLP, The EU Cyber Resilience Act: Preparing for the New Reporting Obligations, 2026-09-22. https://www.kirkland.com/publications/kirkland-alert/2026/09/the-eu-cyber-resilience-act
  27. Wiley Rein LLP, OMB Rescinds Secure Software Development Mandate in Favor of a Risk-Based Approach, 2026-01-29. https://www.wiley.law/alert-OMB-Rescinds-Secure-Software-Development-Mandate-in-Favor-of-a-Risk-Based-Approach
  28. Federal News Network, CISA aims to make executives sign off on security of software sold to government, 2023-11-17（Common Form 要求供货方高管具名签署的直接报道）。 https://federalnewsnetwork.com/cybersecurity/2023/11/cisa-aims-to-make-executives-sign-off-on-security-of-software-sold-to-government/
  29. Simon Willison, A quote from Andrej Karpathy, 2025-02-06. https://simonwillison.net/2025/Feb/6/andrej-karpathy/
  30. LHH（转引 BLS 职业展望数据）, Salary Guide 2026，information security analysts 2023–2033 预计增长 33%。 https://www.lhh.com/en-us/-/media/project/lhh/lhhus/scripts/pdf/lhh-salaryguide2026-digital-final.pdf （BLS 官网设 bot 限制未能直接抓取，此处为二手引用并已标注）
  31. World Economic Forum, Future of Jobs Report 2025, 2025-01（1,000+ 雇主调查；39% 技能集合转型与增速岗位序列引自 eTrade for all 的转述, https://etradeforall.org/news/future-jobs-report-2025-these-are-fastest-growing-and-declining-jobs ；WEF 官网 bot 限制未直接抓取，二手引用已标注）
  32. IANS Research & Artico Search, CISO Compensation Benchmark Report（第六期；美加 550 位 CISO、2025 年总报酬同比 +6.7%、安全预算增速 4%、报酬带通常 25–70 万美元、top 1% 超过 320 万约为中位数 10 倍、过半企业为 CISO 配 D&O）, 2025-11. https://www.iansresearch.com/resources/ians-ciso-compensation-benchmark-report （数字经 MSSP Alert 2025-11-13 报道与 ASIS Security Management 2025-11-14 报道转引：https://www.msspalert.com/news/ciso-pay-packages-grow-as-overall-security-spending-slows-ians 、https://www.asisonline.org/security-management-magazine/latest-news/today-in-security/2025/november/ciso-compensation/ ；IANS 出报告亦卖咨询，Artico 为高管猎头机构，为有利信源，已标注）

源笔记：日常随笔/安全开发在 Agent 时代的位置：从软件工程与安全的结构性变化，到一个人的成长路线.md