距离春节还有一周。室友们一个个拖着行李箱回家了，宿舍里只剩我和隔壁没抢到票的小王。

这一个月我几乎每天晚上都在看安全相关的视频和文章。说实话，信息量有点大，有时候看完一篇漏洞分析，感觉自己懂了，结果第二天看另一篇又懵了。于是我做了一个决定：不求快，求扎实。每天只深入理解一个漏洞类型，把它的原理、攻击手法、防御措施、绕过技巧全部吃透，再去看下一个。

这个策略效果不错。现在至少对 XSS、SQL 注入、CSRF、SSRF 这几个有了比较清晰的认识。虽然离实战还差得远，但最起码看到一个 URL 参数的时候，脑子里会自动弹出一个问号：这里能注入吗？

另外这两天开始折腾 AI 的东西了。起因是在 B 站刷到了一个用 Claude 写渗透测试脚本的视频。看完我就在想：如果把大模型和安全结合起来，能做什么？Prompt injection 是安全问题，但反过来，能不能用 LLM 来辅助安全分析？比如自动扫描代码中的潜在注入点，或者生成测试 payload？

带着这个想法去翻了 OpenAI 的 API 文档和 LangChain 的教程。花了一个下午跑通了第一个 demo——用 GPT 的 API 自动给一段代码做安全审查。结果很粗糙，但方向是对的。我隐约觉得，安全 + AI 这个交叉领域有很多可以探索的东西。

过年回家大概率没法专心学习，那就带两本书回去：《Web 应用安全权威指南》和一本关于 Transformer 论文的解析。不求全读懂，翻多少算多少。

好了，该收拾行李了。提前祝自己新年快乐。