GitHub 在部落格訪問了在其漏洞賞金計畫中表現優異的安全研究員 r31n，請他分享長期投入單一目標與程式庫後，如何逐步磨練出敏銳的安全嗅覺。這篇文章著重在研究方法本身，而不是單一漏洞案例，目的是給想投入漏洞賞金的新手一份實際可參考的學習路徑。
r31n 表示他偏好「利用鏈分析」，也就是觀察多個看起來各自無害的小漏洞，是否能組合成更嚴重的攻擊；做法上會從攻擊者可控制的輸入點（源）一路追蹤到敏感操作（池），釐清資料實際流向。他也坦言自己更常手動調查、搭配針對目標寫的小型腳本，而不是依賴大型自動化掃描工具鏈，並會借助 AI 協助導覽程式碼與追蹤資料流，但強調 AI 的輸出仍需人工驗證。
文章傳達的重點是：真正厲害的漏洞賞金研究員不是背熟一張檢查清單，而是深入理解系統的運作邏輯，並願意在同一個計畫上長期投入，而不是四處淺嚐。這種「慢下來、看得深」的態度，和社群常討論的「靠自動化工具海量掃描」的路線形成對比，也呼應近期 AI 輔助安全研究興起後，人工判斷力依然不可取代的討論。
對正在學程式的孩子來說，這篇文章比較偏資深安全研究員的實戰心法，技術門檻偏高，但背後的態度很值得借鏡：遇到問題不要急著套公式，而是花時間搞懂系統到底怎麼運作，並願意在一個主題上持續鑽研，這種耐心和好奇心，其實是學程式、學任何技能都通用的基礎能力。
資安漏洞賞金AI