360
漏洞挖掘与利用工程师
漏洞挖掘与利用工程师
发布于 15 小时前普通员工/个人贡献者
全职员工仅现场办公信息安全
信息安全
Cve
Ida
Llm
Web安全
二进制安全
模糊测试
漏洞挖掘
逆向工程
值不值得投
73综合评分
综合评分 73
技术深度高、成长空间大的安全研究岗，薪酬有竞争力，但对工作生活平衡无明确承诺。
从薪资福利、成长空间、工作节奏和岗位方向综合评估，方便横向比较。
薪资怎么样
2.3万
比信息安全中位数低
发布情况
新岗位 · 昨天发布
公司情况
公司还在招多个职位
6 个在招
市场机会
选择面较广
北京 · 信息安全 · 96 个在招
职位详情
关于这个职位
作为漏洞挖掘与利用工程师，你将深入研究软件、系统及协议的安全漏洞，运用逆向工程、模糊测试等核心技术主动发现并验证漏洞
职位要求利用大语言模型（LLM）技术探索自动化漏洞挖掘方案，并跟踪前沿攻防动态，以提升公司的整体安全研究能力
最低要求
计算机科学、信息安全或相关领域本科及以上学历
对Web和二进制安全漏洞有一定的认知，具备一定的逆向分析能力和研究能力，熟练使用常见工具，如：IDA、WinDbg、GDB等
熟练掌握C/C++/Python等至少一种语言，熟悉X86或ARM汇编指令，有扎实的编程基础
对漏洞挖掘与利用感兴趣，有热情和自我驱动力，有一定的抗压能力和较强的团队协作精神
工作职责
深入研究软件、设备、系统、网络协议等某领域或多领域的安全漏洞，利用逆向工程、模糊测试、静态/动态代码分析等技术，主动发现并验证新的安全漏洞
探索应用大语言模型（LLM）技术于Web与二进制领域的复杂漏洞挖掘，结合专业知识，设计构建相关自动化工具/流程
研究前沿攻防技术，跟踪国内外安全动态与漏洞披露信息，复现漏洞，研究攻击手法和防御技术，持续提升公司的安全研究能力
参与相关项目或课题，推动漏洞研究能力的价值转化
优先资格
以上职位满足以下至少一项条件者优先录用：
参加过天府杯、Pwn2Own等赛事，并成功攻破目标，作为CTF主力选手取得过优秀的成绩
在有影响力的业界会议（学术/工业）上发表论文
有独立挖掘漏洞的经验，获得过主流厂商的CVE编号
通过使用/定制/自研工具发现有效漏洞
AI 洞察
优缺点分析
优点
- 能够深入接触和研究最前沿的安全攻防技术，技术深度和成长空间大
- 所在公司（360）是安全行业头部企业，有丰富的实战场景和影响力，研究成果容易获得业界认可
- 涉及LLM等新技术的应用，具有创新性和探索性，有助于拓展技术边界
- 成果（如漏洞）的产出有时具有不确定性，可能需要长期投入才能有突破
- 行业技术迭代迅速，需要不断更新知识库以应对新的攻击面和防御技术
- 对网络安全攻防有强烈兴趣和热情，喜欢钻研底层技术、享受发现和利用漏洞过程，并具备扎实编程与逆向基础的求职者
缺点 / 挑战
- 漏洞挖掘工作压力较大，需要持续学习、跟踪快速变化的攻防技术，对自驱力和学习能力要求高
角色解读
- 在漏洞挖掘技术领域深耕，成为特定方向（如浏览器、内核、IoT）的安全专家或研究员
- 向安全架构师或攻防体系负责人发展，负责设计和构建公司的整体攻防能力
- 转型为安全技术团队负责人或研究项目负责人，带领团队进行前沿安全研究
- 主动挖掘软件、系统、协议中的高危漏洞，并完成验证和利用，这是你的核心日常工作
- 将LLM等前沿AI技术应用于漏洞挖掘领域，设计并开发自动化工具或流程，提升挖掘效率
- 持续跟踪国内外最新的安全威胁、漏洞披露信息和技术动态，进行复现和研究
- 参与特定安全项目或研究课题，并将漏洞研究成果转化为实际的安全价值或产品能力
- 具备深厚的Web或二进制安全漏洞发现与分析能力，熟练使用IDA、WinDbg、GDB等逆向与调试工具
- 精通C/C++、Python等至少一门编程语言，并熟悉X86或ARM汇编，有扎实的编程与底层分析基础
- 对AI/LLM技术有基本认知，并有将其应用于安全领域的探索兴趣或实践经验
- 具备强大的自我驱动力、研究热情、逻辑思维和团队协作精神，能承受漏洞挖掘中的压力与挫折
申请策略
- 研究360近期公开的安全研究成果（如技术博客、白皮书）和主要产品线，在面试中展现你对公司的了解
- 准备一个能清晰展示你漏洞挖掘思路和流程的案例（从发现到利用），面试时很可能被追问细节
- 重点突出过往独立发现或参与挖掘的漏洞案例（如CVE编号、CTF比赛成绩、漏洞平台排名），证明实战能力
- 详细描述对逆向工程、模糊测试等漏洞挖掘技术的掌握程度和实践经验，可附上GitHub上的相关工具或代码
- 展示编程语言（特别是C/C++/Python）的熟练度，以及熟悉X86/ARM汇编的证据
- 如有LLM/AI相关项目经验或学习成果（如论文、博客、工具），务必在简历中突出
- 系统性地复习和深化对Web安全（如OWASP Top 10）和二进制安全（如堆溢出、格式化字符串漏洞）的理解
- 尝试学习或实践将机器学习/LLM应用于安全领域的入门项目，如自动化漏洞模式匹配、恶意软件分析等，形成自己的理解
面试指南
- 回答漏洞案例时，采用“背景-目标-技术手段-结果-复盘”的结构，重点突出你的技术选型和解决问题的独特思路
- 讨论LLM应用时，可以结合具体场景（如自动化漏洞模式挖掘、二进制函数识别、漏洞报告生成）来展开，并诚实分析当前技术的局限性
- 表达技术热情和持续学习的能力，用具体的行动（如阅读代码、参加比赛、写博客）来佐证
- 请描述一个你独立挖掘或深度分析过的最有挑战性的安全漏洞案例，包括你的思路、遇到的困难和最终的解决方案
- 你认为将大语言模型（LLM）应用于漏洞挖掘，目前可能有哪些具体的应用场景和面临的挑战？
- 在Web安全和二进制安全两个方向上，你更擅长哪个？为什么？
- 你如何保持自己对前沿攻防技术的了解？请举例说明你最近关注的一个技术或漏洞
- 如果让你负责一个新系统的安全评估，你会采用怎样的漏洞挖掘流程和方法？
职位点评
薪资福利75
成长发展85
工作生活55
使命价值70
薪资福利
75中等
作为技术核心岗位，在北京市场应能获得具有竞争力的薪酬，但JD未披露具体信息，满足程度取决于最终Offer谈判。
薪资信号面议 (1.5千–3万/月)
成长发展
85较高
岗位直接接触安全漏洞研究前沿，并鼓励应用LLM等新兴技术，技术深度和成长空间非常大，对技术发展性动机满足度很高。
技术前沿前沿/新兴技术
技术栈LLM、逆向工程、模糊测试、Python、C/C++、X86/ARM汇编
成长机会持续提升公司的安全研究能力、推动漏洞研究能力的价值转化
业务类型ambiguous
工作生活
55较低
JD未提及任何工作模式、弹性工作或WLB相关信息。安全研究岗位通常需要高度专注和投入，对生活化动机的满足程度有限且存在不确定性。
工作模式未明确
办公地点科技园/产业园
加班情况未提及（无法判断）
使命价值
70中等
安全漏洞研究具有明确的正向社会价值，能直接提升产品和用户的安全性。岗位要求持续跟踪前沿并贡献能力，具有一定使命感，但JD更侧重公司能力提升。
行业发展高速增长赛道
社会影响正向社会影响力较高
使命信号持续提升公司的安全研究能力
创新程度积极采用新技术
Watch Jobs