一、先看钱：两条赛道，两套行情

原因很现实：企业安全的重点已经从"防黑客"变成"保证整个业务系统不出问题"。业务上云之后，权限配置、API 暴露、CI/CD 流程、第三方组件、供应链风险，攻击面比过去复杂得多。

近几年几起大型数据泄露，很多不是"黑客太强"，而是云配置本身出了问题。所以企业现在最怕一种人：既不懂开发，也不懂云，只会扫漏洞。

二、招聘 JD 已经变了，只是很多人没注意

对比几年前的岗位描述：以前写"熟悉 Web 安全""了解常见漏洞"；现在越来越多写"熟悉云原生""了解 IaC 安全""具备 Python 开发能力""了解自动化安全流程"。

翻译一下：行业正在从"工具型安全"转向"工程型安全"。工具会用就行，工程要能改代码、能设计流程、能判断架构风险。AI 进来之后，这个趋势被放大了——过去人工扫漏洞、人工分析简单告警，现在很多平台已经自动化。

三、证书的权重在下降，但不是归零

有个典型场景：新人证书考了一堆，简历很好看，但问到具体日志怎么读、应急先做什么，答不上来。中大型企业没时间慢慢培养"纸面型人才"，所以证书更像敲门砖，决定长期上限的还是实战能力。

四、AI 安全为什么值得看，但要先掂量门槛

这半年"AI 安全工程师""大模型安全研究""AI 应用安全"岗位明显增多。触发点很具体：企业把大模型接进业务之后，才发现麻烦在后面——员工乱接插件、乱传内部数据，这些都不是模型聪不聪明的问题。

但门槛不低：多数岗位要求懂开发、懂接口、懂模型调用逻辑，甚至要有一点机器学习基础。纯靠背漏洞库、刷靶场，很难吃到这波红利。

五、给转行者的判断标准

别再只问"哪个岗位工资高"，先问自己想走哪条路线：

• 工具路线：上手快、门槛低，但可替代性高，AI 替代的第一批就是这类重复劳动；
• 工程路线：要补开发、云、自动化，起步慢，但越往后越值钱。

作者的原话很直白：网络安全会越来越像一个"技术工程行业"，而不是"考证行业"。如果你现在准备入行，把这句当成筛选器——凡是靠背知识点就能过的门槛，都不值得押上几年。