当网安专业的毕业生找不到网安的工作——一个行业观察者的冷思考
又是一年毕业季。朋友圈里，各地高校网安学院的毕业典礼照片刷了屏。校长寄语、院长嘱托、优秀毕业生代表发言，一派朝气蓬勃的景象。但如果你翻到这些照片下面，点开那些没有出现在官方镜头里的话，你会看到另一个版本的故事。
“投了四十多份简历，拿到三个面试，两个是销售岗，一个是技术支持。” “我们班三十个人，真正在做安全的，一只手数得过来。” “面试官问：你会做漏洞复现吗？我说学过理论。他说：那你搭个环境，把这个CVE高危漏洞复现出来试试。我半天没搭起来。”
这不是段子。而就在同一时间，安全公司的技术负责人群里，却是完全相反的焦虑：“招一个能上手的中级渗透工程师，面了八个没有一个过技术面的。” “今年招了四个应届生，带着项目时间培训了三个月，给客户做安全交付根本就支持不了。” “不是我们不要应届生，是确实用不了。”
一边是找不到工作的毕业生，一边是招不到人的安全公司。需求很大，匹配很少。
这个市场到底出了什么问题？
我做了十三年安全创业，也参与过一些高校网安学科建设的交流活动。站在产业界和学术界的交汇点上，看到了太多微妙但重要的错位。这篇文章，想坦诚地谈一谈我的观察。
一、十年拓荒到千亿产业，人却不够用了
2015年前后，"网络空间安全"成为一级学科。那几年，安全人才极度稀缺，一个会挖漏洞的应届生，还没毕业就被抢光，起薪轻松过万。CTF打得好，直接走特殊通道免笔试进大厂安全部门。
十年过去了。全国开设网络空间安全相关专业的高校超过两百家，每年毕业生规模在两万人以上。与此同时，中国网络安全产业规模已逼近千亿。
数字看起来很好——千亿市场，百万缺口，两万毕业生，不该是供不应求吗？
但如果你拆开看，缺口和供给之间，有一道很深的裂缝。"百万缺口"中，绝大多数是复合型、实战型的中高级人才需求。初级执行岗位的需求量，并没有想象中那么大。换句话说，缺的不是刚毕业的学生，缺的是能干活的人。
这跟在其他行业看到的情况其实一样——医院缺的是能主刀的医生，不缺刚毕业的医学生；律所缺的是能独立办案的律师，不缺刚拿证的实习律师。
安全行业也不例外。
二、产业正在发生什么：结构性变化
在进一步分析之前，有必要把产业侧的变化讲清楚。因为如果你不理解安全行业这几年发生了什么，你就理解不了为什么"招不到人"和"找不到工作"会同时存在。
2016年到2020年前后，是中国网络安全产业的一个快速上升期。《网络安全法》实施，等保制度落地，关基保护条例推进。政策的密集出台，让安全从"锦上添花"变成了"刚性支出"。那几年，只要你有团队、能交付，就不愁没项目。
但接下来的几年，风向变了。
首先是宏观调整。政企客户的IT预算整体趋紧，安全预算作为其中的一部分，同样受到挤压。头部安全公司的营收增速普遍放缓，有的甚至出现下滑。当行业龙头都在过紧日子，中小企业的生存压力可想而知。
其次是AI的冲击。这是我要重点谈的。
AI对安全行业的影响，不是"替代安全工程师"这么简单。它带来的是一种结构性的重塑。
过去，一个安全公司的梯队大致是这样的：顶部是技术专家，中间是骨干工程师，底部是一大批做基础执行的初级员工，包括大量的应届毕业生。这是一个经典的金字塔结构。底部足够大，可以容纳大量新人。很多行业前辈回忆起自己入行的时候，就是从最基础的信息收集、日志分析、漏洞验证开始干的——那时候有大量的初级工作等着人去做。
但AI正在吃掉金字塔底部。
那些需要"人"来做的基础执行工作——端口扫描、漏洞验证、日志分析、报告初稿——AI做得更快、更稳定、成本更低。以前可能需要几个初级工程师花一天做的基础信息收集，现在一个AI Agent加上一个中级工程师review，半小时就完成了。
这意味着什么？意味着安全行业的岗位结构可能正在从"金字塔"转向"纺锤形"——底部在收缩，中部在膨胀。
这对毕业生的冲击是巨大的。过去，你可以从一个初级岗位入门，边干边学，用两三年成长为中级工程师。现在，初级岗位在快速减少。企业要么招"能直接干活"的中级人才，要么用AI加上少量高级工程师完成以前需要一个团队才能完成的工作。应届毕业生恰好卡在最尴尬的位置——既达不到中级岗位的要求，又要跟AI拼性价比。
这是一个从未有过的新局面。
但AI不止是一面"砸饭碗"的刀。它也是一把梯子。
对学习能力强的学生来说，AI是最好的私人教师和编程助手。以前学一门新技术可能要翻一个月的文档，现在跟AI对话就能快速掌握核心概念。以前写一个漏洞利用脚本可能要调试一整天，现在AI帮你起头、帮你纠错、帮你优化。学习的门槛正在被AI拉低，学习的速度正在被AI拉快。
问题在于：你是用AI来替代思考，还是用AI来加速学习？
如果是前者，那你就是在帮企业训练"替代你"的理由。如果是后者，你就是在武装自己，让自己更快地跨越初级门槛，进入AI替代不了的中高级领域。
这个区分，可能决定了一个安全从业者未来十年的职业走向。
三、行业前辈们的非线性成长：没有一条路是"标准答案"
聊完了产业变化，再聊一个和毕业生切身相关的话题：在这个行业里，人是怎么成长起来的？
如果你翻一翻安全行业里那些现在被称为"大牛"、"前辈"的人的职业履历，你会发现一个很有意思的现象——几乎找不到两个人的路径是一样的。
有的人在2008年、2009年就开始接触渗透测试，甚至更早的老前辈们，那时候国内连长期安全稳定运营下去的安全社区都没几个。他们靠翻英文资料、泡论坛、反复在自己搭的环境里练手，一点点硬啃出来的。后来赶上移动互联网爆发，各大互联网公司开始组建安全团队，他们成为第一批被高薪挖进大厂的安全工程师，完成了从野路子到正规军的转变。
有的人是在乙方安全公司一路做上去的，从最基础的漏洞扫描做起，一路做到攻防演练的项目负责人。打过几百家客户的真实系统，踩过上千个坑，对"什么样的系统容易出什么问题"有一种肌肉记忆式的直觉。这种人的市场价值，往往远高于他的学历背景所能预测的。
还有的人走了一条更少有人走的路——从甲方跳到乙方，从大厂跳到初创公司，从技术转到产品，从产品又回到技术。每一次转换都放弃了一些东西，但也获得了别人在同一轨道上跑十年都获得不了的视野。等他们开始创业或带团队的时候，这种跨界的积累价值就体现出来了。
这些非线性的成长路径告诉我们一件事：安全行业不需要每个人都走同一条路。
但有一个共同点：每一个走到今天的前辈，都在某个阶段有过一段高强度的"自我加速期"——那段时间里，他们的成长主要不来自课堂，来自实战。这无关学历，无关出身。985科班出身的人，如果没有经历过高强度的实战锤炼，照样会被市场淘汰。大专学历的人，如果在某个技术方向上持续深耕，照样能成为团队里不可替代的技术担当。
这个行业很残酷，也很公平。
所以对于在校学生来说，重要的不是"我这四年能不能学到足够的东西"——客观地说，任何学校的课程都不足以让你毕业就能独立干活。重要的是"我这四年有没有建立起自我加速的能力"。一旦你学会了如何让自己快速成长，后面几十年的职业生涯，都是你的加速赛道。
四、安全行业需要什么样的人：一个"认知升级"的需求
刚才讲的是岗位结构的变化，还有一个更深层的趋势值得关注：对人本身的"素质要求"也在变化。
十年前，你掌握一个别人不会的工具，就是竞争优势。五年前，你有一套别人没有的漏洞库，就是技术护城河。
但在当下，工具在拉平，Payload在泛滥，知识在贬值。GPT可以生成渗透测试报告，可以写漏洞验证脚本，可以分析代码中的安全问题。当"知道什么"不再稀缺，"怎么想"变得更重要。
真正稀缺的，是你分析问题的框架——面对一个陌生系统，你知道从哪里入手，用什么方法去拆解它。是你判断风险的直觉——你看一眼架构图就能感知到哪个模块最薄弱。是你理解业务的能力——你不仅知道这里有一个SQL注入，你还知道这个注入在企业业务链条中的位置，以及它可能引发的连锁反应。
而这些"软能力"，恰恰是学校教育最难覆盖的部分。
它们不是靠听课获得的，是靠上手做、靠犯错、靠复盘积累出来的。一万小时的刻意练习，一万小时的真实对抗。
那么问题来了：如果一个网安专业的学生，四年时间主要花在听课、考试、拿学分上，他的"上手时间"有多少？他的"犯错机会"有多少？他的"复盘经验"有多少？
答案可能不太乐观。但这不是学生的错。
五、课堂和战场的距离
说实话，很多高校的网络安全教学确实面临困境。这种困境，执教者自己比谁都清楚。
教材更新慢于产业节奏，这是一个普遍问题。网络安全的半衰期极短——一个漏洞类型的生命周期可能只有两三年，一个攻击技术的迭代周期更短。但一本教材从编写到审定到出版，周期往往需要两年以上。老师拿着两年前的教材，讲三五年前的案例，面对的是将要进入一个和教材完全不同的现实世界的学生。
资源投入和实际效果之间的落差，也不少见。很多高校在网络安全学科建设上投入了真金白银——建实验室、买设备、搭靶场。但如果这些资源建成后，学生的使用频率不高，或者使用深度不够，就变成了"为建而建"。这不是某一个人的问题，更像是一个系统性难题：建设的评估标准和使用的效果评估之间，存在错位。
更根本的是，教师们的考核压力确实很大。评职称需要论文，需要项目，需要奖项。同时还要承担大量的教学工作。在这种多重要求下，让一位教师再额外花时间去企业实践、追踪产业前沿、更新教学内容——即便他个人有这个意愿，时间从哪里来？
我不是在批评谁。我只是想说：当"培养出产业需要的人才"不是评价体系的核心权重时，培养学生这件事，在很大程度上依赖于老师的个人责任感。有些老师做得很好——他们自费找资源、周末带学生打CTF、主动联系企业建立实习通道。他们值得最大的敬意。
但个人的力量始终有限。当系统性的激励方向和个人理想不完全一致时，我们期待的很多改变，就难以规模化地发生。
六、高校和产业之间，到底缺什么？
这些年，高校和企业之间的合作，很多停留在表层。
最常见的模式是：签一份战略合作协议，挂一块"校企联合实验室"的牌子，领导们拍一张握手的照片。然后每年请企业的人来开一两次讲座，派几个学生去企业参观一天。仅此而已。
这种合作模式，对双方来说成本都很低。但效果也很有限。学生听了一次讲座，记住的可能只是某个安全大牛的传奇故事，对实际能力的提升几乎为零。企业派了一个人来讲了两小时，既没筛选到合适的人才，也没留下任何可持续的合作路径。
更深一层的合作，应该是怎样的？
行业内其实也有不少值得参考的做法。一些高校在某个学期，把一个完整的Web安全课程项目化——整个学期的教学内容，围绕着一个真实的渗透测试任务展开。从信息收集到漏洞利用到报告撰写，每一步都有业界的工程师参与指导。学生的期末成绩，不是一次闭卷考试，而是一份真实的渗透测试报告加上一次面对企业导师的答辩。
这门课的老师说，备课量是普通课程的三倍。但他愿意做，因为"学生上完这门课，眼神都不一样了"。
我身边也有不少例子。一些安全公司工作多年的技术骨干和技术管理者，被高校聘为兼职教师，甚至是特聘教授。他定期去学校上几节课，课程内容全部来自他那段时间处理的真实安全问题。学生交了学费，上到的是"昨天"的实战经验。这种教师不是一年来一次讲座的"客座教授"，而是每月都在教学现场的"编外全职教师"。
这两种模式，都比"挂个牌子拍个照"辛苦得多。但效果，也实在得多。
七、毕业生的另一条路
说到这里，可能会有人觉得我在唱衰科班教育，推崇自学成才。
完全不是。我自己就是从行业早期成长起来的，见过太多前辈和同行的职业路径——他们来自各式各样的背景，有的科班出身一步步成为技术总监，有的是半路出家靠自学杀出一条路，有人从大厂安全部门积累几年后出来创业，有人从乙方跳到甲方又回到乙方。这个行业最迷人的地方，恰恰在于路径的多样性。
学科教育提供的是系统性的知识框架、有验证的课程体系、有资质的师资团队。这些价值，是自学无法替代的。哪怕是那些自学能力强到令人羡慕的安全专家，当他们回头看自己的成长路径时，往往也会说"如果当时有人系统地教过我XX就好了"。
所以问题不在于"上学还是自学"，而在于：学校教的和产业要的之间，怎么找到更有效的对接方式。
对在校学生而言，一条比较现实的路径可能是：
第一，尽早开始实战。大一学好编程基础，大二就可以开始做漏洞复现。不是做一两道CTF题，而是从头到尾复现真实的CVE漏洞——自己搭环境，自己写利用脚本，自己写分析和修复报告。四年的时间，如果能完整复现二十到三十个不同类型的真实漏洞，动手能力就上了一个大台阶。
第二，用好AI但不依赖AI。让AI帮你加速学习，而不是替你完成作业。遇到不懂的技术问题，先用AI辅助理解，但最终要自己动手验证。记住——AI生成的代码，你必须自己读懂、自己改好、自己测试通过。
第三，找到一个技术方向深入。不要什么都学。Web渗透、二进制安全、代码审计、云安全、移动安全、威胁情报……选一个你最有热情的方向，深耕下去。这个行业的深度，远比你想象的深。在任何一个方向上做到精通，都不愁出路。
第四，尽早接触产业。暑假不是用来玩的，是用来长本事的。去安全公司实习，去做真实的项目，去面对真实的客户。哪怕实习工资很低，你挣到的也不是钱，是"从入门到能干活"的加速器。
八、AI时代的双刃剑：对从业者和教育者的共同挑战
前面提到AI正在吃掉金字塔底部。这里我想再展开聊聊AI给这个行业带来的两面性。
对从业者而言，好消息是：AI让高手的生产力爆发式增长。以前需要一周完成的技术评估报告，现在可能一天就能搞定。但坏消息是：高手因此变得更稀缺——一个能用好AI的高手，生产力远超一个普通工程师。企业更愿意花高薪请一个"AI加持的高手"，而不是用同样的钱请三个普通工程师。
这在一定意义上加剧了强者愈强、弱者愈弱的马太效应。
对刚入行的年轻人来说，这里有一个很微妙的陷阱需要警惕。如果你在工作中学到的第一件事就是"让AI帮我做"，那你可能永远也学不会"为什么这么做"。一年以后，AI升级了，你还停留在原地。但如果你先让自己理解原理，再用AI加速执行，那AI就是你的翅膀而非拐杖。
这个道理听起来简单，但在真实的职场环境里实践起来很难。因为当你的主管催你"快点出活"、当你的同事都用AI几分钟搞定而你还在手动研究时，"先用AI应付过去"的诱惑非常大。一个人能不能迈过初级门槛、进入AI替代不了的中高级领域，很大程度上就取决于他在这种时刻的选择。
对高校而言，AI带来的挑战更为复杂。如果教学方法不改变，学生可能会用AI完成作业、生成论文、甚至在考试中作弊——这会让"能力认证"变得更加困难。但如果善用AI，它可以成为教学中最强大的辅助工具——为学生提供即时的答疑解惑、个性化的学习路径、无限的练习机会。
关键不在于AI本身，而在于使用方式。
一些高校已经开始尝试在教学中有意识地引导学生使用AI。比如，一门安全开发、代码审计课程的教学设计变得很有意思：老师允许学生在课堂上随时使用AI编程助手，但要求学生在最终答辩时，必须能够逐行解释AI生成的代码，讲清楚每行代码的逻辑、潜在风险和优化方向。这样一来，AI不再是学生逃避思考的工具，反而变成了锻炼理解能力的好帮手。
这样的探索，比简单地"禁止"或"默许"更有价值。
九、几点务实的建议
基于这些年的观察，我想提出几条建议。不追求"大而全"，只希望能被认真考虑。
第一，本科阶段做一次分类分流。
不是每个网安专业的学生都适合走学术路线。可以考虑在大二下学期做一次分流：
工程方向
（面向产业）：强化编程、工具使用、漏洞实战，培养能直接进入产业的人
学术方向
（面向深造）：强化数学基础、密码学、形式化方法，目标读研读博
交叉方向
（面向多元出口）：安全+法律、安全+管理、安全+产品
不同方向的课程体系、考核方式、实习要求，应该有不同的设计。统一培养方案下出来的学生千篇一律，分方向培养才能让不同类型的人找到适合自己的路。
第二，把"真实漏洞复现"写进培养方案。
一个网安专业毕业生的基本功，应该包括：
- 能从公开漏洞数据库中自主选择目标
- 能独立搭建受影响环境
- 能独立完成漏洞复现
- 能编写检测规则和修复建议
- 能撰写完整的技术分析报告
如果一个学生毕业时没有独立复现过一定数量的真实漏洞，那他在动手能力上的训练可能是不够的。
第三，建立真正有效的企业导师制度。
不是一年来一次的讲座嘉宾，而是每月都在教学现场的兼职教师。三到五名来自产业界的工程师，稳定地参与教学。学校出课时费，企业出人。对学校而言，一次几千块钱的成本，换来了产业一线经验的持续注入。对企业而言，提前一年就接触到了潜力学生，招聘成本和培训成本都可能大幅降低。
第四，给老师的"产业参与"留出制度空间。
教学需要看论文、看项目，但教安全的人，同样需要看产业。能否在教师考核中加入"产业实践"的维度——比如每年在企业挂职的最低时长、教学案例中真实产业案例的最低占比、学生产业就业的跟踪指标？这些维度不需要很大的权重，但只要有，就能给那些愿意花时间做产业落地的老师一个制度上的支撑。
第五，投入的经费，多投"人"，少投"物"。
一个上百万，甚至几百万的攻防靶场如果建了不使用，不如把这些资源用来：送一批学生去安全公司深度实习六个月、请多位产业专家到学校上一个完整学期的课、支持学生参加五十场安服项目或攻防演练。
投资的"物"会折旧，投资的"人"会增值。
十、最后的话
几年前我第一次参加高校网安学科的交流活动时，坐在满场的学者中间，听着那些前沿理论术语和高规格人才称号，觉得自己像是一个误入学术殿堂的野路子创业者。
几年过去了，我依然觉得自己是野路子。但我不再觉得慌张了。因为我越来越清楚地看到：学术圈和产业圈之间那条鸿沟的两端，其实都在焦虑。
学者们焦虑的是学科评估、科研产出、人才帽子。产业界焦虑的是业绩增长、客户交付、人才缺口。两边都很忙，都很累，都在自己的评价体系里拼尽全力。但两边都很少真正停下来，认真地看一看对方的世界。
学者们的研究成果，需要被翻译成产业能理解、能落地的方案。企业家们的实战经验，需要被结构化、被提炼、被传承，回到课堂。这两件事，本身就是一个巨大的生态位。
而我想做的，就是在鸿沟上，搭一座有人真正会走的桥。
不是那种签完协议拍完照就锁进档案柜的桥。是有人摔过、爬起来、继续走的桥。这座桥的一头，连着教室；另一头，连着战场。桥上的行人，是我们的学生。
他们不需要在两套评价体系里站队——到底是"做研究高级"还是"做产业有前途"。他们需要的是：在课堂上学到真正能用得上的本事，在实习中遇到真正关心他们成长的导师，在毕业时拥有真正自由的选择。去科研、去产业、去创业、去甲方，都是堂堂正正的路，不是"退而求其次"的选项。对，说了这么多，回到最根本的问题：
网络安全这个行业，有没有前途？有，而且很大。千亿市场还在增长，安全的需求只会越来越多。有没有足够的岗位？有，但和正在消失的初级岗位不同，在增加的，是需要更高认知能力的中高级岗位。
能不能顺利进入这些岗位？能，但这需要学生、学校、企业三方都迈出自己舒适区的一步。学生需要更早地开始动手，学校需要更实在地对接产业，企业需要更有耐心地参与人才培养。
这是一个可以被解决的问题。只是目前，三方都还没有使出全力。希望下一次毕业季，我打开朋友圈时，能看到更多这样的对话：“恭喜你拿到offer了！去哪家？” “去XX安全，做攻防演练的方向。他们去年就在我们学校带过项目，算是已。
学习资源
如果你也是零基础想转行网络安全，却苦于没系统学习路径、不懂核心攻防技能？光靠盲目摸索不仅浪费时间，还消磨自己信心。这份 360 智榜样学习中心独家出版《网络攻防知识库》专为转行党量身打造！
01内容涵盖
这份资料专门为零基础转行设计，19 大核心模块从 Linux系统、Python 基础、HTTP协议等地基知识到 Web 渗透、代码审计、CTF 实战层层递进，攻防结合的讲解方式让新手轻松上手，真实实战案例 + 落地脚本直接对标企业岗位需求，帮你快速搭建转行核心技能体系！
这份完整版的网络安全学习资料已经上传CSDN【保证100%免费】
**读者福利 |******[CSDN大礼包：《网络安全入门&进阶学习资源包》免费分享
02 知识库价值
- 深度： 本知识库超越常规工具手册，深入剖析攻击技术的底层原理与高级防御策略，并对业内挑战巨大的APT攻击链分析、隐蔽信道建立等，提供了独到的技术视角和实战验证过的对抗方案。
- 广度： 面向企业安全建设的核心场景（渗透测试、红蓝对抗、威胁狩猎、应急响应、安全运营），本知识库覆盖了从攻击发起、路径突破、权限维持、横向移动到防御检测、响应处置、溯源反制的全生命周期关键节点，是应对复杂攻防挑战的实用指南。
- 实战性： 知识库内容源于真实攻防对抗和大型演练实践，通过详尽的攻击复现案例、防御配置实例、自动化脚本代码来传递核心思路与落地方法。
03 谁需要掌握本知识库
- 负责企业整体安全策略与建设的CISO/安全总监
- 从事渗透测试、红队行动的安全研究员/渗透测试工程师
- 负责安全监控、威胁分析、应急响应的蓝队工程师/SOC分析师
- 设计开发安全产品、自动化工具的安全开发工程师
- 对网络攻防技术有浓厚兴趣的高校信息安全专业师生
04部分核心内容展示
360智榜样学习中心独家《网络攻防知识库》采用由浅入深、攻防结合的讲述方式，既夯实基础技能，更深入高阶对抗技术。
内容组织紧密结合攻防场景，辅以大量真实环境复现案例、自动化工具脚本及配置解析。通过策略讲解、原理剖析、实战演示相结合，是你学习过程中好帮手。
1、网络安全意识
2、Linux操作系统
3、WEB架构基础与HTTP协议
4、Web渗透测试
5、渗透测试案例分享
6、渗透测试实战技巧
7、攻防对战实战
8、CTF之MISC实战讲解
这份完整版的网络安全学习资料已经上传CSDN【保证100%免费】
**读者福利 |**[CSDN大礼包：[《网络安全入门&进阶学习资源包》免费分享 ]
文章来自网上，侵权请联系博主
