说实话第一次看到“AI 挖洞”这个词的时候我第一反应是又有人在标题党。漏洞挖掘是一门相当吃经验、吃耐心、吃代码功底的手艺传统流程里光信息收集和代码审计就能劝退一大半新人。突然冒出来一个工具说能“提升挖洞效率”甚至让零基础也能上手很多人第一反应是这不就是拿 AI 扫个目录、撞几个常见漏洞吗有什么新鲜的。但 Claude Code 的出现把这件事的层次拉高了。它不是给你补全代码的助手也不是一个聊天窗口而是一个能直接跑在终端里、能理解整个项目、能读写文件、能执行命令的 Agent 工具。对于安全研究者来说这意味着原来最耗时间的中间环节——读代码、找输入点、写测试脚本、起环境验证——都可以让 AI 先做一遍初筛。你负责判断它负责干活。这篇文章不是让你变成“漏洞猎人”而是想用一个零基础能跟上的路径把下面这几件事讲清楚Claude Code 到底是什么它和 Cursor、GitHub Copilot 有什么本质区别在合法授权的漏洞挖掘场景里它的正确打开方式是什么从安装配置到跑通一个本地靶场审计任务中间每一步怎么做以及最关键的哪些坑必须避开哪些红线不能碰。先说结论AI 挖洞不是躺着收漏洞而是把“从代码到测试用例”的重复劳动压缩到极短。真正值钱的依然是你的安全判断力。这篇文章带你拿到工具同时也告诉你边界在哪里。1. 当“挖洞”遇到 AI这波热度背后到底发生了什么1.1 漏洞挖掘的日常是什么先还原一个安全研究者的真实工作流。假设你拿到一个授权目标无论是 SRC 平台上的众测项目还是自家公司的内部系统漏洞挖掘一般来说要经过这几个阶段信息收集域名、IP、端口、指纹、目录、接口先搞清楚目标长什么样。攻击面梳理从收集结果里整理出真正可以交互的入口比如登录接口、上传功能、API 端点、后台管理页面。代码审计 / 黑盒测试这是最花时间的环节。黑盒就是直接对着接口发送测试请求看参数有没有被过滤白盒则是拿到源码后从数据流的角度追查输入从哪进来、有没有经过过滤、最终落到哪个危险函数上。验证与报告发现可疑点后构造一个最小化的请求或数据包证明这个漏洞真实存在然后写成报告提交。问题在哪问题在第 2 步到第 4 步之间全是重复且琐碎的体力活。你需要反复读同一类代码用户输入进来 → 没有过滤 → 拼进 SQL → 查询数据库文件上传 → 只校验了 Content-Type → 恶意文件落盘。这种模式有经验的师傅一眼就能看出来但新人要看半天。更要命的是你要为每一个可疑点写测试脚本、起测试环境、手动构造请求。一天下来真正花在“思考”上的时间可能不到两小时剩下六个小时全在搬砖。1.2 传统流程的三座大山这三座大山限制了绝大多数新人进入漏洞挖掘这个领域读代码门槛高。框架和业务逻辑不同危险函数的位置千差万别没有足够的阅读量根本看不出问题。验证速度慢。发现一个可疑点从写脚本到确认漏洞中间要折腾环境、调试请求、看响应差异。时间一长热情就没了。知识遗忘快。今天学会 SQL 注入的原理明天遇到一个 Java 框架的 ORM 拼接 SQL 的变体又认不出来了。为什么很多人觉得挖洞难不是因为那些漏洞原理有多高深而是因为从“懂原理”到“找到目标里的那个具体问题”之间隔着大量的模式匹配和手工验证。这一层恰好是 AI 最擅长的。1.3 一个更准确的判断所以你可以这样理解 Claude Code 在漏洞挖掘里的角色它不是一个自动扫描器不会帮你一把梭哈打穿整个目标它更像一个能力很强、但需要你指挥的“代码审计实习生”。你把项目丢给它它可以快速给出全局结构标出每一个外部输入的点再逐个函数追踪数据流。你只需要在它给出的结论里用自己的经验判断哪些值得深入。这带来的变化是过去一个人一天只能深入审计五六个接口现在可以把这一步压缩到一两个小时省下来的时间全用来做更重要的验证和利用分析。这也是本文想贯穿始终的核心判断——AI 提升的不是“发现漏洞的能力”而是“发现漏洞的效率”。2. Claude Code 是什么重新认识 AI 编程助手2.1 从“代码补全”到“终端 Agent”如果你用过 GitHub Copilot 或者 Cursor你可能会习惯一种交互方式光标停在那里AI 预测你接下来会写什么代码。这种模式本质上是“输入法”它能提升编码速度但不会主动替你完成一个任务。Claude Code 不是这个思路。它是一个跑在终端里的 Agent。当你启动它、进入某个项目目录后AI 能读取当前项目的文件结构可以帮你搜索代码、打开文件、定位函数也能直接修改文件、执行终端命令。你用自然语言交代任务它会拆解成一个多步计划然后自己读完代码、自己改动、自己运行测试把结果返回给你。简单说Copilot 是“你说一句它补一句”Claude Code 是“你说一个目标它执行一整个流程”。2.2 Claude Code 的三个核心能力从安全研究的使用角度我把它拆成三个关键能力项目级上下文理解。它能扫描整个目录理解代码之间的关系。比如你问“这个项目里哪些接口接收了用户输入”它会跨文件搜索给出数据输入的完整路径而不是只看某一个文件。文件读写与命令执行。这是最关键的。它能在你的授权下修改代码、创建测试文件、运行命令。对于白盒审计场景这意味着它可以直接生成审计报告文件或者写一个临时 Python 脚本去测试某个接口。可定制技能。通过 Skill 机制你可以把一段成熟的审计经验比如“当发现反序列化入口时先检查类白名单”固化成一个可复用的提示词模板之后让它反复使用。2.3 与常见 AI 编程工具的对比工具交互形态能否管理项目上下文能否执行命令适合场景GitHub CopilotIDE 内联补全部分否写业务代码时提升速度Cursor编辑器 对话较强部分内置日常开发、重构Claude Code终端 Agent强可以代码审计、批量操作、自动化任务当然这个对比不是要分个高下。在日常业务开发里Cursor 和 Copilot 依然是好工具。但如果在代码审计、需要跨文件追踪数据流的场景里Claude Code 这种 Agent 形态确实更合适因为它能自己干活而不是等你把代码粘贴给它。3. 环境准备从零安装 Claude Code3.1 安装前置条件Claude Code 是一个基于 Node.js 的 npm 包所以安装前你需要准备好一台可以联网的电脑。Windows、macOS、Linux 都可以但更推荐 macOS 或 Linux终端体验更顺畅。Node.js 环境。建议使用较新的长期支持版本本文不把某个具体版本写死因为更新太快你可以用node -v检查是否已安装。一个可用的 API Key 或已登录的账号。这一步会在下面细讲。如果还没有 Node.js可以用官方安装脚本或者使用你熟悉的 Node 版本管理器安装。装好后确认 npm 可用node -v npm -v3.2 npm 全局安装与版本验证打开终端执行全局安装命令npm install -g anthropic-ai/claude-code安装完成后验证版本号确认命令能正常找到claude --version如果你安装时遇到权限报错通常是 npm 全局目录权限问题。不推荐直接加sudo绕过更稳妥的做法是重新配置 npm 的全局安装路径到用户目录具体方法可以参考 npm 官方文档中的“Resolving EACCES permissions errors”一节。3.3 登录鉴权与模型接入首次运行claude命令时程序会引导完成登录。通常有两种方式使用 Anthropic 账号登录并完成授权通过ANTHROPIC_API_KEY环境变量指定 API Key。在实际使用中我更推荐环境变量的方式方便脚本化和多设备复用。在 macOS / Linux 下可以这样设置export ANTHROPIC_API_KEY你的API密钥如果希望长期生效把上面这行写入~/.bashrc或~/.zshrc然后执行source命令刷新。对于国内开发者还有一个经常遇到的问题是否可以把 Claude Code 接入其他模型服务比如 DeepSeek。这里需要先说明原理Claude Code 默认通过 Anthropic 的接口协议通信如果你要接非 Anthropic 官方的模型服务需要的是一个“兼容 Anthropic API 格式”的网关或者转换层把请求转为目标模型支持的格式。常见的做法是在网关的管理界面里配置一个“模型别名”然后在本地通过环境变量指定export ANTHROPIC_BASE_URLhttps://你的网关地址 export ANTHROPIC_MODEL你在网关上配置的模型名这里特别提醒模型名必须和网关端配置的一模一样。很多新手自定义模型名时把名字写成deepseek-v4-pro、deepseek-v4-flash之类的占位符结果启动时报错提示模型不被识别。遇到这种问题不要慌先检查环境变量里的ANTHROPIC_MODEL是否与网关端一致。3.4 权限模型的第一次确认Claude Code 在首次进入项目目录时会询问是否允许读取文件、写入文件、执行命令。这一层权限确认非常重要千万不要因为嫌麻烦就一路回车全选允许。对于安全项目我的建议是先让它读文件逐步放开写权限和执行权限。等确认它理解任务、不会乱改代码时再允许执行命令。要知道AI 一旦有了执行命令的能力它就能操作整个系统环境这是一个不小的信任边界。4. Claude Code 在漏洞挖掘流程中的工作方式4.1 一条改造后的挖洞工作流把前面讲的传统流程结合 Claude Code 的能力重新梳理一遍你会得到一条效率高得多的路径项目准备确定授权目标如果是白盒测试把代码仓库放到本地如果是黑盒测试把抓包获得的接口信息整理成文档。全局梳理让 Claude Code 扫描整个项目输出目录结构、技术栈、外部输入点列表。代码审计针对输入点逐个追问让 AI 追踪数据流标出危险函数调用链。生成测试用例让 AI 根据审计结果生成一个最小化的验证脚本或请求样例。人工验证你只对 AI 标出的高风险点做二次确认把它生成的脚本放到测试环境里运行。报告输出让 AI 把整个流程整理成结构化报告你补充关键判断。在这个流程里AI 承担了 70% 以上的“读”和“写”的工作而你保留了 100% 的决策权。4.2 AI 能做的三件事和不能做的一件事先说能做的它能把几万行代码的目录结构快速梳理成清单帮你建立全局认知。它能以极高的耐心去找某个参数从 HTTP 请求到数据库查询的完整路径。它能按你的要求把审计结论写成不同格式的报告省去整理格式的时间。不能做的是什么它不能替你判断“这里到底是不是真的可以利用”。安全漏洞的成立往往取决于非常细微的条件这个参数虽然进了 SQL 语句但前面可能有一个全局过滤器拦截了这里存在反序列化但目标类不在白名单里。AI 给出的结论是基于模式匹配的“疑似”而不是基于实际环境验证的“确定”。如果你把 AI 的所有判断都当成事实那一定会被带入沟里。所以正确的心态是AI 帮你省时间但不帮你做决定。5. 零基础实战在本地授权靶场跑通全流程5.1 准备工作一个可用的本地靶场纸上谈兵没有意义我们直接用实战跑一遍。为了不违法、不踩红线请务必使用本地靶场。安全圈常用的训练靶场有 DVWA、WebGoat、vulhub 等这些都是开源的可本地搭建的漏洞训练环境用来学习漏洞原理和练习测试方法。以 Docker 方式启动一个靶场是一个非常推荐的起点。docker run -d -p 8080:80 vulnerables/web-dvwa启动后访问http://localhost:8080完成初始化你就拥有一个完全属于自己、可以随便测试的授权目标了。这里我必须以安全红线的口吻强调一次所有漏洞挖掘练习只能在你自己搭建的环境、或者明确获得授权的项目中进行。未授权测试属于违法行为后果由行为人本人承担。本文所有示例均假设你拥有完整授权。5.2 用 Claude Code 梳理项目结构与攻击面进入靶场代码目录启动 Claude Codecd /path/to/dvwa claude启动后在交互界面中输入第一个任务请分析这个项目的整体结构说明它用的是什么语言和框架列出所有在 Web 层接收用户输入的入口点按文件路径整理成清单。Claude Code 会开始读取项目文件逐个文件分析最后给出类似下面的输出入口点 1/login.php接收参数username、password处理后拼接进 SQL入口点 2/vulnerabilities/sqli/接收参数id直接拼入查询语句入口点 3文件上传功能仅校验Content-Type存在类型绕过风险。不要小看这一步。人工完成这个梳理可能要半小时到一个小时而 AI 在几分钟内就能给出全量清单。你接下来要做的就是拿着清单从最高危的入口开始逐个确认。5.3 让 Claude Code 辅助代码审计拿到入口点清单后选择一个重点目标继续追问。比如请深入分析 sqli 页面中 id 参数的完整数据流从 HTTP 请求接收到最终的 SQL 查询语句中间经过了哪些过滤和转义请给出涉及的文件行号和关键代码片段。AI 会顺着调用链找到参数传递过程中的每一步。它可能会告诉你这个参数在入口处没有过滤直接拼入$query最后传给mysqli_query执行。也就是说从静态代码分析的视角“疑似 SQL 注入”的风险点成立。这里要注意AI 给出的代码片段你应当回到源码中亲自核对一遍。原因前面说过AI 可能漏掉某个全局过滤器。把 AI 当指引而不是当结论。5.4 生成测试用例与风险标注在确认代码层面确实存在风险后可以让 Claude Code 生成一个最小化的验证脚本。需要用一段话向 AI 说清楚边界比如这是一个我已经获得授权的本地靶场环境。请为 id 参数生成一个最小化的 Python 验证脚本用于对比正常请求和异常请求的响应差异。脚本必须只针对本地 127.0.0.1 的靶场不要包含任何针对其他主机的功能。AI 生成的脚本大致结构如下这里给出一个可复制的骨架# 文件路径test_sqli_id.py # 仅用于本地授权靶场测试 import requests BASE_URL http://127.0.0.1:8080 session requests.Session() # 登录靶场获取会话 login_data { username: admin, password: password, Login: Login, } session.post(f{BASE_URL}/login.php, datalogin_data) # 正常请求 params_normal {id: 1, Submit: Submit} resp_normal session.get(f{BASE_URL}/vulnerabilities/sqli/, paramsparams_normal) # 测试请求仅做差异对比不涉及真实数据窃取 params_test {id: 1 OR 11, Submit: Submit} resp_test session.get(f{BASE_URL}/vulnerabilities/sqli/, paramsparams_test) if resp_normal.text ! resp_test.text: print([!] 响应存在差异疑似存在注入风险请进一步人工确认) else: print([] 响应无明显差异风险等级降低)运行脚本python3 test_sqli_id.py如果脚本输出“响应存在差异”只说明“值得人工深入”并不代表漏洞已经百分百确认。真正的高危判定取决于能否构造完整利用链这一步必须由人来完成。5.5 如何验收 AI 的输出很多人跑完上面步骤看到 AI 生成了脚本、跑出了差异就觉得万事大吉。这是很危险的习惯。我建议在每次审计任务结束后按这样一个清单去做验收代码行号和文件路径是否真实存在涉及的函数是否真的会执行到用户输入过滤逻辑是否出现在调用链的更前端测试脚本的请求目标是否限定在授权范围最终报告里的漏洞等级是否由人确认过。只有每一行都验证过AI 的输出才能从“参考意见”变成“审计结论”。6. 进阶用 Skill 沉淀你的审计经验6.1 Skill 是什么为什么对安全研究有用用过一段时间 Claude Code 后你会发现自己在反复输入一些相似的任务描述查数据流、找反序列化入口、检查文件上传校验逻辑。既然这些是重复劳动为什么不把它们固化下来这就是 Skill 的作用。简单说Skill 是一个包含SKILL.md文件的目录里面写清楚这个“技能”的触发场景、执行步骤和输出格式。每次需要时你在对话里提到这个技能名称Claude Code 就会按照你预设的流程去执行。对安全团队来说Skill 还有一个好处它可以把团队里资深师傅的审计方法论沉淀下来变成新人也能调用的标准动作。6.2 创建第一个审计 Skill在项目根目录下创建.claude/skills/code-audit/SKILL.mdmkdir -p .claude/skills/code-audit然后编辑SKILL.md文件内容如下--- name: code-audit description: 对指定目录或文件进行安全代码审计梳理外部输入点追踪数据流输出风险清单。 --- # 安全代码审计技能 当你需要分析一段代码或一个项目中的安全风险时使用本技能。 ## 执行步骤 1. 先输出当前被审计项目的基本信息语言、框架、目录结构。 2. 找出所有接收外部输入的入口点包括但不限于 - HTTP 请求参数 - 文件上传 - 命令行参数 - 数据库读取后的二次使用 - 外部 API 回调 3. 对于每个入口点追踪数据流直到其被消费的位置重点关注 - SQL 拼接 - 命令拼接 - 文件路径拼接 - 反序列化入口 - 模板渲染 4. 输出格式要求 ## 审计清单 - [ ] 入口点文件与行号 - [ ] 数据流路径描述 - [ ] 是否经过过滤 - [ ] 风险等级初判 - [ ] 建议验证方式 ## 安全要求 - 所有结论必须标注为“初判”最终结论需由人工确认。 - 不得输出针对任何外部未授权目标的攻击载荷。 - 如果遇到生产环境代码只做静态分析不执行任何可能改变状态的命令。保存后在 Claude Code 对话中这样调用它使用 code-audit 技能对 src/main/java/com/example/web/ 目录下所有 Controller 做一次安全审计。之后你每次都能得到格式统一、结构完整的审计报告而不需要每次都重新描述一遍方法论。6.3 把 Skill 共享给团队当一个 Skill 经过实战验证后你可以把.claude/skills整个目录提交到团队的 Git 仓库。这样所有成员拉到代码后本地就自动拥有了同一个审计标准。这种做法在团队协作中非常实用因为每个人调用的都是同一套方法论输出报告的格式也高度一致。7. 常见问题与排查思路7.1 高频问题清单我把安装和使用 Claude Code 过程中最常遇到的问题整理成一个表格方便你对照排查。问题现象可能原因排查方式解决方案安装失败提示权限错误npm 全局目录没有写权限查看错误日志中的 EACCES 信息配置用户级 npm 目录不要使用 sudo启动后提示模型不被识别ANTHROPIC_MODEL环境变量设置错误打印环境变量核对模型名改成网关上配置的准确模型名无法登录一直转圈网络不稳定或账号授权失效检查 curl 连通性确认登录状态重新执行登录或配置 API Key 环境变量AI 无法读取项目文件项目目录不是当前工作目录确认启动claude时所在的路径先cd到目标项目目录再启动执行命令被拒绝权限模型未放开执行权限查看 Claude Code 权限提醒按需授权仅在明确任务中开放回答明显过时或不知道某个库训练数据有截止时间给出库的官方文档链接让它先读取文档内容再回答7.2 模型接入问题单独说明热词里能看到很多开发者尝试“Claude Code 接入第三方模型”但官方服务只支持 Anthropic 的接口协议。接入其他模型必须依赖一个兼容网关否则会一直报鉴权或模型不存在的错误。如果你遇到类似xxx is not a model this version of claude code recognizes的报错请按顺序检查网关端是否真的配置了你填写的模型别名ANTHROPIC_BASE_URL是否指向了网关的地址ANTHROPIC_MODEL是否和网关上登记的模型名完全一致注意大小写网关是否支持 Anthropic API 格式的请求转换。不要试图用一个模型名去“蒙”过校验配置正确才是根本。8. 最佳实践与安全红线8.1 合法授权必须前置这一节我认为是整个文件里最重要的一节。无论你用不用 AI漏洞挖掘的红线都是同一个没有授权就是违法。使用 AI 工具不会让你的行为变得合法也不会因为“是 AI 做的”而减轻责任。请始终遵守以下原则只测试你拥有、或已获得书面授权的系统SRC 平台授权项目只能运行在平台指定范围内的目标上靶场练习只在本地环境进行发现涉及大量真实用户数据的漏洞时立刻停止测试并及时上报绝不进一步探测。8.2 最小权限与数据脱敏Claude Code 能读写文件、执行命令这意味着它也有能力把敏感信息带出去。实际操作中建议做到不在生产环境目录里直接运行它尽量拉取代码副本到本地分析如果代码中包含数据库密码、API Key 等敏感配置先脱敏再交给 AI 分析不把用户真实个人信息放入提示词中项目结束后清理可能包含敏感信息的临时文件。技术上可以使用项目级配置文件settings.json来限制 AI 的权限一个参考配置如下{ permissions: { read: true, write: false, execute: [ls, cat, grep, find] } }这个配置允许读取禁止写入只允许执行有限的几个查询命令。你可以在需要放开的阶段再修改配置原则是“默认拒绝按需放行”。8.3 Prompt 工程建议用好 Claude Code有一半取决于你会不会提要求。几个实用建议明确角色和边界。在提示词里说清楚“你是一名代码审计助手只会做静态分析不生成针对未授权目标的攻击载荷”。分步提问。不要一上来就让 AI“帮我挖洞”而是先让它列入口点再选一个入口深入追踪最后生成脚本。要求给出文件和行号。不带行号的审计结论没有办法验证出了错也很难回溯。要求输出固定格式。让 AI 按“风险点、文件、数据流、过滤情况、建议验证方式”输出方便归档和汇报。8.4 把 AI 当作“初筛助手”而不是“最终裁判”我见过不少人把 AI 的报告直接贴进公司漏洞报告系统结果被安全负责人打回原因是报告内容经不起复核。问题不在于 AI 不够聪明而在于流程错了。正确做法是AI 完成初筛和整理你负责复核和定级。AI 说“疑似”你必须判断“到底有多真”。AI 说“高危”你要确认利用条件是否满足。只有当你的名字出现在报告署名里时这份报告才真正代表一个安全专业人员的判断。9. 总结与下一步回头看这篇文章真正想传递的其实是一个很朴素的工具使用观Claude Code 这类终端 Agent真正厉害的地方不是“能聊天”而是“能干活”。它可以把漏洞挖掘流程中大量重复的信息收集、代码追踪、脚本生成工作接管过去把安全研究人员从低效劳动里解放出来。你可以从今天这篇文章开始做一个最小练习本地用 Docker 起一个靶场装上 Claude Code让它梳理一遍项目结构再挑一个入口点做数据流追踪。不要马上追求发现漏洞先感受一下“AI 初筛 人工复核”这种协作模式是否适合你。如果这个流程跑通了下一步可以继续研究三个方向Skill 机制的深度定制把你自己的审计方法论写成可复用的技能让 Claude Code 辅助编写漏洞报告和渗透测试记录统一输出格式把它引入团队协作建立一套“AI 初筛、人工复核、双人互审”的安全测试流程。工具会不断更新版本号会变模型名会变但有一点不会变愿意把重复劳动交给 AI、同时把核心判断握在自己手里的开发者永远会比别人走得更快。建议收藏这篇文章配置环境遇到问题时随时回来对照排查。