一句话看懂：安全研究者 Eva 在个人博客中解释了为什么坚持不用 LLM 做研究：研究对她而言是乐趣，她无法为 LLM 的产出署名，也受不了模型“自信地犯错”。这篇文章同时批评了 AI 公司借网络安全做营销的倾向，值得关注的是它给出了与主流叙事相反的从业者视角。
事件核心：发生了什么
原文发布于 2026 年 11 月 1 日，作者回应了读者反复提出的问题：博客文章用了什么 AI 模型。她的回答是“我的大脑”，所有已发表研究均未使用 AI。她的理由有三层：做研究本身是兴趣，不愿把探索过程外包；无法为 LLM 生成的内容署名，也不能把模型当作可致谢的人；实际试用时，模型在过程中“自信地给出错误答案”让她难以忍受。
她并不否认大模型的能力，但强调当前 LLM 在漏洞挖掘等任务中仍需有经验的人引导，近期引发关注的漏洞研究多由专业研究人员借助 LLM 完成，而非普通人直接上手。她以 php2shell 为例，指出参与方 Calif、OpenAI 和 Wiz 的博客叙事各不相同，并批评部分研究者在补丁发布前公开 0day 的 PoC 视频或哈希，认为这更像营销，且会加剧安全风险。
为什么重要
当前 AI 行业把网络安全当作重要营销场景，常见叙事是“智能体自主发现关键漏洞”。这篇文章提供了一个来自安全研究一线的反向样本：工具能力在提升，但成果归属、过程可信度和发布伦理仍是未解决的问题。它提醒读者区分“模型能做什么”和“厂商如何讲述模型能做什么”，也把 PoC 披露节奏、哈希使用方式等具体实践拉回讨论。
对用户/开发者/创作者的影响
对开发者而言，LLM 可以加速代码阅读和命令执行，但仍需要人工审查输出，尤其在安全敏感任务中；对内容创作者而言，若个人品牌建立在原创研究上，是否披露 AI 参与程度会直接影响可信度；对企业采购方而言，评估安全类 AI 产品时应关注其背后是否有专业团队引导，而非只看演示视频。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
一是 AI 公司在安全研究中的披露方式是否会更规范，例如补丁先行、减少未修复漏洞的公开演示；二是 LLM 辅助漏洞研究能否形成可复核的方法论，而不只是营销案例；三是更多研究者是否会公开类似的使用边界，影响开发者对 AI 工具的信任预期。目前公开信息显示，文章观点来自作者个人实践，不代表其所在机构立场。
