阅读原文

跳转微信打开

如果你渴望用安全技术为十亿级用户的超级APP打造安全护盾，在AI时代迎接全新的安全挑战并影响安全行业未来走向，欢迎加入我们一起为热爱而战！

团队介绍

支付宝业务风险技术部是支付宝CISO团队，为支付宝技术安全负责。团队致力于构建AI驱动的支付宝业务研发生命周期安全体系（Alipay-AI4SDL），通过先进的AI技术和安全技术，系统性评估和解决业务安全风险，持续提升业务安全品质，为行业树立安全标杆。

岗位职责和简历投递

阅读原文

跳转微信打开

元旦之后一直比较忙，今天偷闲在手机上打下这段文字正式向2025说声再见。

25年，最有成就感的事情莫过于把读书的习惯坚持了下来。这几年大环境越来越卷，个人的精力随着年龄增长也在呈现下降趋势，由内到外这些让人下坠的力量似乎无处不在。这两年需要投入大量时间的爱好都已经逐渐被我放弃了，坚持读书可能是我最后的倔强了。

11月在南京看了我最喜欢的歌手刘若英的演唱会（要感谢某位南京好友），上一次现场听刘若英的演唱会还是2016年在深圳。她音乐总是很奇妙的让人怀念过往，在南京现场听《后来》让我想起了30岁在深圳南山的日子；翻开朋友圈记录，发现那年在深圳现场听《后来》让我怀念起20岁在南京四牌楼的日子。

25年去了敦煌莫高窟、成都青羊宫、天台桐柏宫等几个想去看一看的地方，只是比较遗憾计划中的老君山之行未能达成，留待26年吧。

在工作方面，相比24年在支付宝鸿蒙原生客户端、支小宝、碰一下NFC支付等多个不同的领域并发进行从0到1的业务安全体系构建，25年我和团队更加聚焦在AI安全方向：一方面保障AI战略业务（如AQ/阿福APP）安全落地，一方面通过AI技术升级我们的SDL体系（AI4SDL）。取得了一点成绩，也积累了一些经验，26年继续努力。

“夫风生于地，起于青萍之末”，在25年已经可以清晰的看到未来10-20年整个互联网行业演进趋势，更是暗合传统国学中三元九运理论之下元九紫离火运的解读。新的时代才刚刚拉开帷幕，26年加油！

阅读原文

跳转微信打开

骄傲一点的说：“蓝星这帮人，在过去十年撑起了中国互联网安全三分之一的天空”，应该不算太夸张？

阅读原文

跳转微信打开

支付宝AI4SDL研发安全体系斩获首届“AI领航杯”星光金奖

2025“人工智能+”产业生态大会——“AI领航杯”“人工智能+”应用与技能大赛AI+安全赛道结果正式发布！

阅读原文

跳转微信打开

用今天的标准来看，陈平是一个合格的管理者吗？对不同岗位/不同层级管理者的具体要求应该是什么样的？

阅读原文

跳转微信打开

随手记录，毫无价值

最近在冯唐公众号上看到了一篇关于“穷气”文字，有一些感悟，随手记录一下。

首先要说一下的是，这里所谓的“穷气”，其实并不是指财富上的穷，而是气质上的穷。

什么样的人是“充满穷气的人”，我想了一下，大概有这么几类：

一、喜欢辩解和抱怨

这类人说话有一些典型的口语“我想说的是”、“我不是这个意思”、“我不是想xxx”、“卡点不在我这里”等。自己搞不定一件事，永远是客观环境或者其他人造成的，在长期的自我辩解中养成了这种语言习惯。如果你周围有人经常用这样表达，那么最好和他少说一些、离的远一点。

二、偷鸡摸狗、不劳而获

这类人其实也挺多的，比如把别人的成果包装成自己的、甚至直接窃取别人成果的。本质上这是一种“穷”，所谓人穷志短，能力上的“贫穷”，才会做出这样的事情。

三、观点不稳定、左右横跳

对于同一件事的观点，一会儿左、一会儿右，基本上是从自己利益出发来做思考和价值判断，没有稳定的价值观。值得注意的是，因为自己情绪不稳定怕被指出，他们经常会在讨论问题的过程中率先指责别人情绪不稳定影响了自己。

四、眼界很低、格局很小

只看眼前，比如对一件事件的了解通常是通过别人“口说”，这类人缺乏独立对复杂事情和现实世界缺乏完整的认知能力，为了达成自己的某种目标甚至“不择手段”。他们不知道什么是正确的事情，而且有时候冒着邪气的做法很容易传染周围的人。

所谓物以类聚、人以群分，如果你发现周围有人给你带来了思维混乱和认知混淆，大概率是被对方的“穷气”污染了，一定要识别出来并且保持距离。

和眼界高远、意志坚定、有伟大理想的人走在一起，我们才会变得更好，才会在遭遇艰难困苦的时候勇敢的面对、始终堂堂正正的做人。

阅读原文

跳转微信打开

团队工作的一点总结

阅读原文

跳转微信打开

随手记录，毫无价值

我们在团队里面做一些管理动作，通常是以如何更好的达成业务目标为出发点的，确实应该多考虑一下“安人”的视角。

回想了一下过往，我们团队大本营在杭州，为了快速招聘到人支持业务发展，曾经招聘了2人base上海。管理上没有处理好异地带来的各种不安的因素，最终失败。

这一点随着年龄和经历的增长越来越认同，首先是自己要有道德底线、做事不能违背良心；其次是要和同类人做朋友，远离道德素质不高的人。

道德素质不高的人，通过观察其行为就可以识别，比如一本正经的把黑说成白的、喜欢偷鸡摸狗的、表面一套背后一套的等等。远离这些人，千万不要提建议、意见或者批评，烂人是不会接受意见的。

3、关于影响力

影响力通俗的说就是声望，曾老师认为：“我们培养声望的目的，在于人际交往中能够进行有效沟通，达成共同做事的目的。”

过往行业里面一些安全团队做内外部影响力，用的叙事逻辑和话语体系都是面向安全圈的。这个大约是有点偏了，你有几斤几两在一个圈子里的其实都清楚，影响力工作更应该面向安全团队的“客户”来做，这使得我们的业务目标更容易达成。

不再一一写了，总之这是一本很有启发、值得阅读和辩证思考的书。

阅读原文

跳转微信打开

随手记录，毫无意义

八十年前的今天，是中华民族浴火重生的日子，推荐一本有特别意义的书 《国史大纲》。

钱穆先生著述本书于抗战期间，在国家危亡中，先生以笔为戎，近80万言荡气回肠，激扬国人之民族精神。从另外一个角度，亦有亡国后作为复国精神纲领之意。

阅读原文

跳转微信打开

随手记录，毫无价值

阅读原文

跳转微信打开

新的一年希望自己能多读书，也会把自己的一些感触记录在这里。想到哪写到哪，不成体系，仅为记录。

上一篇随笔的最后提到面对不确定性的时候需要有策略性思考，今天就写一点“策略”相关的。

在几年前互联网行业大环境比较好的时候，安全部门的事情是比较好做的。譬如某家公司的安全实验室搞出了“大新闻”，随后行业里面一大片安全实验室矩阵式出现。后来者甚至都不需要有长期的规划，只需按照先行者的模式复制，就有可能短期内获得成功：别人挖二进制漏洞PR、我挖web漏洞PR，甚至于实验室名字都跟随别人续上。

​

然而客观环境是一直在变的，这些团队大多都已经发现过往的打法套路行不通了，于是在生存压力下只能尝试各种转型。

所以当我们在做一个事情的时候，一定要有策略性思考：

1、想清楚我们的长期目标是什么。成立实验室的目标是挖漏洞打影响力吗？显然这只是一种技术性套路，并不是一个长期的、伟大的目标。

2、理解别人成功的原因是什么。是会挖漏洞吗，是会写PR文章吗，是被公司重视吗，是赶上好时代了吗？可能这都是肤浅的表面原因。

3、客观环境会有哪些变化，我们要尽可能的想好如何应对这些潜在的变化才能保证长期目标的实现。在面对困难的时候也一定要保持乐观，悲观者或许正确、但是成功一定属于乐观者。

4、不断自我学习和修正目标/打法，不要把事情固定成一个模式、并且自我陶醉的称之为“确定性的打法”。更不应该认为自己“天赋有限”放弃学习，一旦有了这种心态很快就会失败。

最后：把安全实验室这个作为例子来水文字，是因为我自己也没做好这件事情。

阅读原文

跳转微信打开

新的一年希望自己能多读书，也会把自己的一些感触记录在这里。想到哪写到哪，不成体系，仅为记录。

明日立春，甲辰龙年正式开启。新的一年希望自己能多读书，也会把自己的一些感触记录在这里。想到哪写到哪，不成体系，仅为记录。

​在当前的大环境下，一个有着10年以上历史的复杂业务，需要更快速、更大力度的连续创新才能维持高速发展。而安全团队面对的命题则是“如何在业务拼发展的同时，持续提升整体安全水位”。

这是一个非常严峻的挑战，我们常常希望自己面对的问题是确定性的，也有人说安全要做好就必须消除不确定性。但是原有的业务本身已经是庞然巨物，当她在原有赛道和新赛道加速起舞的时候， 显而易见其业务安全会充满了巨大的不确定性。

1、安全风险的不确定性：业务在快速变化，安全团队是否能够清晰准确的、全景式的看到业务发展路径上的各种安全风险，并且能够对风险进行合理的排序。消除视野盲区的另外一个重要意义在于，可以避免在解决一个安全问题的时候引入新的问题。

2、业务自身的不确定性：有的业务产品这个月投产上线快速试错，两三个月后验证不可行被放弃。安全团队在安全能力建设方面如果没有前瞻性的架构设计和风险模型抽象，则会跟着业务后面吃尾气：为某个产品做的安全能力刚上线，该产品已经下线了。

3、协同关系的不确定性：业务在变，组织也会跟着调整，以往各方相对固定的协同关系和边界随时可能发生变化。而很多安全同学并不太擅长沟通，这会使得协同关系的动态稳定性面对很多挑战。

我们需要积极的面对不确定性，吴伯凡老师说：放弃对确定性的执念隐含着一种人性的美德——一种终极的勤奋和勇敢。

我们也需要聪明的面对不确定性，通过策略性的方法在不确定性的过程中取得确定性的结果。

阅读原文

跳转微信打开

推荐一本很特别的书 《内证观察笔记》

跳转微信打开

具有“系统性思考”的解决方案是“从全局出发”、“具有结构化设计”和“长期战略思考”、“辩证看待目标”的方案。

在讨论安全问题解决方案的时候，经常会听到有人说这个解法“缺乏系统性”或者“不够体系化”。到底怎么样思考问题才算具有“系统性思维”，我们以某大规模红蓝演练防守方备战为例抛砖引玉。

1、方案要从全局出发、整体思考，力求整体效应最大化。面对“演练”，要做的事情很多、头绪繁杂。在资源有限的情况下必须以全局风险视野来设计备战方案和调配投入，才有可能最大限度提升“演练”中的存活概率。全局设计挑战的是技术专业性和全面性，需要敏感洞察和深刻理解全局各个纬度的风险。

2、方案要结构化。“演练”备战划出了哪些阵地、阵地之间是什么关系、不同的团队如何协同联动、如何避免防御单点和风险盲区，整体布防结构一定是经过合理设计的。结构化方案的落地需要理顺“生产关系”，对沟通组织能力是个挑战。

3、方案要具有战略视角和长期效应。应把该“演练”作为引导长期安全建设的抓手，而不是仅仅作为眼前的一个“战役”。业务安全水位很难靠一两个“运动”在短期内得到较大提升，纯以“眼前过关”为主的方案大多劳民伤财。这要求我们能够正确看待眼前和长远的关系，具有长远的思考和布局能力。

​4、避免为了达到目标设计极端方案。过去常有“演练”期间通过停服务的方式来追求绝对的安全，这是不可取的，需要辩证的看待“演练”出局风险和业务连续性的关系。对关键业务而言“安全是发展的前提，发展是安全的保障”，业务停了安全也就不存在了。

总结一下，一个具有“系统性思考”的解决方案是“从全局出发”、“具有结构化设计”和“长期战略思考”、“辩证看待目标”的方案。

阅读原文

跳转微信打开

不争眼前长短，要谋来日方长。再艰难的日子也要努力的生活，保持身体健康、磨练坚韧心智，未来一定无限美好。

跳转微信打开

分享一首伟人的七律，上海的朋友们加油。坚信人民和党“敢教日月换新天”的革命浪漫主义情怀不会消失，上海必胜！

《到韶山》

别梦依稀咒逝川，故园三十二年前。

红旗卷起农奴戟，黑手高悬霸主鞭。

为有牺牲多壮志，敢教日月换新天。

喜看稻菽千重浪，遍地英雄下夕烟。

跳转微信打开

招聘实习生，致力于在Java代码自动化分析和机器学习相结合领域做深入研究的同学看过来。

招聘实习生，致力于在Java代码自动化分析和机器学习相结合领域做深入研究的同学看过来。

【蚂蚁安全非攻实验室介绍】
蚂蚁安全非攻实验室专注Java基础设施安全研究，成立以来在相关领域已经产出多个重要成果。团队当前致力于将机器学习算法应用在程序分析、漏洞挖掘等相关领域，力求“学术上有突破，业务上能落地”。欢迎【热爱安全、算法】的【23届（2022.11到2023.10毕业）同学】加入我们！
【安全研究实习生】
base：杭州
要求：
1. 计算机基础、网络基础扎实，了解web安全相关知识。
2. 熟练使用Java、Python、C、C++等任意一门编程语言。
3.掌握机器学习/深度学习算法的原理与应用。
加分项：
在程序分析、恶意代码检测、漏洞挖掘等与代码相关的任意领域有算法落地实践经验。
简历请发 

chuanlei.mchl@antgroup.com

阅读原文

跳转微信打开

在充满不确定性的大环境下，借用互联网前辈的话和朋友们一起共勉：“对现实保持隐忍，对未来怀有希望，在当下有所作为。”

加油，春天终究会回来。

跳转微信打开

很多年轻的业务安全工程师，交给他一件事情的时候表现非常优秀，交给他三件事情的时候就会手忙脚乱、每一件都做不好。优秀的TL能够尽量合理分配工作、用好团队同学的长处，但现实中一个业务安全工程师并发承担多个事情（评估业务安全性、应急突发事件、推进漏洞工单闭环等等）的情况依然是难以避免的。在高并发状态下如何做到“忙而不乱”，给年轻同学以下几点建议：

2、对齐：如果你对自己的排序没有充分的把握，那就要主动和TL对焦以确认没有偏差；

3、短期的事情快速闭环，长期的事情保持耐心不要焦虑；

4、学会高效沟通，能够简要清晰的表达自己的需求、想法和态度；

5、文字能力一定要不断提升，一个事件写简报，有的人十分钟可以写清楚来龙去脉，有的人一个小时写出来的还是重点不清晰的糊涂账；

6、多锻炼、少熬夜，工作时间保持清醒的头脑和敏锐的洞察力，不要试图靠“卷时间”取胜，坚持长期主义。

所谓能者多劳，能同时并发处理好多少件复杂的事情，也是衡量个人综合能力的一个纬度。努力修炼，每天都是一个更好的自己。

阅读原文

跳转微信打开