晚点或许会分享 OKPAY 被黑漏洞原理复盘，敬请关注。

在此之前， 先分享一个0day仓库包含几十个0day

包括但不限于firefox、7zip、docker、ffmpeg、php857等。

https://github.com/bikini/exploitarium

刚才和朋友聊天聊到了这里，我顺便吐槽一下。

我一向认为，做安全的人可以不精通开发，但做开发的人一定要懂安全。

一个开发团队不仅仅只会开发，一个安全团队也不仅仅只做安全。

真正的开发，不只是实现业务功能，还要具备安全意识、性能意识、稳定性意识。从需求设计、代码实现到部署上线，都应该把安全作为产品的一部分，而不是出了问题再去补漏洞。

同样，真正的安全，也不仅仅是漏洞扫描、渗透测试、代码审计。安全团队同样需要理解业务、理解架构、理解开发流程，能够参与安全设计、代码审计、风险评估，也能够在事故发生时快速定位问题、分析攻击路径、完成应急响应，并推动问题彻底修复，而不是停留在「发现漏洞」这一环。

开发、安全、运维、应急响应，本质上都是工程能力的一部分。很多时候，一次高质量的应急响应，考验的不只是安全技术，更是对系统架构、业务逻辑、日志分析、数据库、网络以及开发框架的整体理解。

所以我始终认为，开发和安全从来不是两个割裂的岗位，而是相互融合、相互促进的能力体系。开发需要安全思维，安全需要工程思维，只有具备完整的技术视角，才能真正构建出稳定、安全、可靠的产品。

另外现在 AI 百花齐放，写代码的门槛确实降低了，但也出现了一个越来越明显的问题：不少人把「能跑」当成了「能上线」，把「没有报错」当成了「没有风险」。复制 AI 生成的代码，不理解它为什么这么写，不验证输入输出，不考虑权限控制，不检查依赖来源，更不会思考潜在的安全隐患。

AI 的确能提升开发效率，但它不会替你承担责任。AI 可以帮你写代码，可以让一个 Demo 在几分钟内跑起来，却不能保证它能经受真实环境的攻击 (此处 @godk 和 @imkuwei)。

工程的终点，从来不是代码跑起来，而是产品能够稳定、安全、可靠地运行。AI 是放大器，它能放大优秀工程师的能力，也同样会放大坏习惯和安全隐患。真正有价值的，不是会不会用 AI，而是有没有能力判断 AI 给出的东西是否值得相信。