当一个专家岗位还在用工程师的方式招聘：一次APT+AI检测岗位的面试复盘
原创 jishuzhain 2026-09-05 09:14 广东
最近面了一个比较特殊的岗位。
之所以说特殊，不是因为它挂了一个多么漂亮的职位名称，而是因为它实际要求解决的问题，已经明显超出了普通安全工程师的工作边界。
岗位方向大致可以概括为：
APT威胁检测 + AI自动化检测 + 攻击挖掘 + 归因 + 算法。
我最终在二面通过之后，主动放弃了这个机会。
不是因为面不过，也不是因为岗位技术含量低。恰恰相反，是因为面到第二轮以后，我越来越清楚地意识到：这是一个高级、甚至专家级，可能带有某个技术方向负责人性质的岗位，但它的招聘方式、投入产出关系以及未来绩效风险，让我不愿意再进去重复过去踩过的坑。
这一次，我第一次非常明确地意识到：
以前吃过的亏没有白吃。
一、先判断一个岗位到底是什么级别
以前看岗位，我比较容易受到职位名称影响。
高级安全工程师，就是高级工程师；
安全专家，就是专家。
但真正工作以后会发现，职位名称并不能完全决定岗位级别。
一个更有价值的判断方式，是看：
这个岗位究竟要求一个人承担多大的不确定性。
初级岗位通常解决的是确定的问题：
给定目标，按照已有方法完成执行。
中级岗位开始要求独立解决问题：
给你一个模块，你自己把它完成。
高级岗位解决的是复杂问题：
方案不一定现成，需要你自己设计。
到了专家级岗位，问题进一步发生变化：
这个方向本身应该怎么做，需要你来定义。
而方向负责人承担的则是：
方向怎么定义、技术路线怎么选择、体系怎么建立，以及最终结果如何产生。
这次这个岗位明显已经进入了后面几个层级。
因为他们不是简单地问：
你会不会做APT分析？
而是进一步讨论：
怎么做APT威胁检测？
怎么利用AI进行自动化检测？
怎么做攻击挖掘？
怎么进行归因？
这已经不是单纯的技术执行问题。
它要求候选人面对一个尚未完全确定的技术问题，自己建立解决路径。
所以，如果仅仅因为职位名称没有写“负责人”，就把它理解成普通高级工程师，我认为是不准确的。
从实际问题边界来看，这至少是高级专家级别的工作内容，甚至具有方向负责人的性质。
二、真正稀缺的不是APT，而是三个能力的交集
这个岗位最特殊的地方，是它不是单纯要求APT经验。
如果只要求APT研究：
市场上虽然小众，但仍然存在一批威胁情报、APT研究、样本分析方向的人。
如果只要求检测：
做EDR、SIEM、安全运营、检测规则的人更多。
如果只要求算法：
安全算法、机器学习、数据分析方向也有相应人才。
真正困难的是三个方向的交集：
APT威胁理解 × 检测能力 × AI/算法能力。
而且这里的“懂”不能只是知道概念。
至少需要有一定实际成果和经验，能够把：
攻击行为→ TTP理解→ 数据与特征→ 检测逻辑→ 算法/AI→ 自动化→ 产品能力
串起来。
这就是这个岗位人才画像真正困难的地方。
我在和HR沟通的时候，也直接表达过一个判断：
按照他们要求的这种复合画像，我认为全国范围内符合条件的人非常少，包含在职人员在内，我个人判断可能不超过十个人。
这里需要说明，这不是一个经过公开人才数据库验证的统计数字，而是基于我对这个行业、相关岗位以及自己所接触人才的经验判断。
但后来HR也向我透露，他们之前招聘这个岗位确实存在比较大的难度。
此前这个岗位甚至只有北京工作地点，后来才开放成都。
他们也曾经接触过360相关人才，但招聘并没有成功。
这至少说明一件事情：
这个岗位的真实人才供给并不像普通安全岗位那么充足。
三、问题是：稀缺岗位，不等于一定值得去
这是我这次最重要的判断。
一个岗位越稀缺，并不意味着它一定越值得加入。
因为还需要继续问：
这个组织有没有能力支撑这个岗位？
这个方向有没有明确的数据和业务闭环？
这个人的成果如何衡量？
如果方向做不出来，绩效怎么算？
几年以后市场还需要这种能力吗？
APT研究尤其容易出现一个问题：
技术难度非常高，但业务结果并不容易量化。
攻击事件不是按照员工绩效周期发生的。
你不可能要求APT攻击者：
“这个季度请多攻击几次，好让我完成KPI。”
现实环境里可能很长时间没有典型攻击事件。
即使发现了攻击，也不意味着可以轻松完成：
发现 → 检测 → 自动化 → 归因 → 产品化 → 商业价值
每一步都存在巨大的不确定性。
四、我为什么对这个问题特别敏感？
因为我以前已经经历过。
在过去的工作中，我做过APT威胁分析、终端安全、威胁检测以及相关检测体系建设。
我已经亲身经历过：
一个技术上很难、投入很大的方向，最后并不一定容易产生可以被组织认可的绩效成果。
这也是为什么这次面到APT + AI检测岗位时，我的第一反应并不是：
“这个方向好前沿。”
而是：
“这个方向的绩效怎么做？”
这两种思维差别非常大。
第一次接触这种岗位的人，很容易被：
AIAPT自动化智能归因
这些关键词吸引。
但真正做过的人，首先想到的可能是：
数据从哪里来？
样本量够不够？
标签怎么获得？
真实攻击样本是否足够？
如何构造评估集？
如何衡量检测有效性？
误报率怎么办？
新攻击和历史攻击如何处理？
AI产生的结果如何验证？
归因结果的可信度怎么评估？
最终如何进入产品？
产品价值如何证明？
这些问题解决不了，AI本身并不能自动解决问题。
五、“AI + APT”最容易产生的一个错觉
AI确实可以帮助安全分析。
这一点没有必要否认。
AI可以帮助：
信息归纳；
IOC关联；
TTP提取；
日志分析；
脚本辅助；
检测规则生成；
告警聚合；
分析流程自动化。
但是：
“AI能够辅助APT分析”与“AI能够自动完成APT检测、挖掘和归因”，不是一回事。
尤其是攻击归因。
归因本身就不是一个简单的分类问题。
现实中很多线索具有：
不完整性；
欺骗性；
重用性；
噪声；
对抗性。
攻击者可以复用工具、基础设施和TTP。
所以一个模型输出：
“疑似某APT组织。”
并不等于完成了可靠归因。
真正的系统需要考虑：
证据链、置信度、关联关系以及人工复核。
因此，AI更现实的价值往往是：
增强分析人员，而不是简单替代分析人员。
如果一个组织把“AI能够解决”理解成“AI最终应该把这些问题全部自动解决”，那么项目从一开始就可能存在预期管理问题。
六、这也是为什么我看到二面方向之后，心里已经开始笑了
这个岗位的一面是两个人技术面。
二面又是两个人技术面。
二面的时候，对方进一步提到了：
AI自动化检测；
攻击挖掘；
检测与归因。
我当时基本就明白了。
因为这个岗位已经不是：
“找一个APT分析人员。”
而是在寻找一个能够把多个方向串起来的人。
这意味着它实际上需要承担相当大的技术不确定性。
但与此同时，我也开始联想到过去的经历：
如果这个方向最后没有足够多的真实攻击事件，成果怎么计算？
如果AI系统效果不稳定：
谁承担结果？
如果几年以后公司发现这个方向没有商业价值：
这个人的职业标签怎么办？
这才是我真正关心的问题。
七、最值得警惕的，是“专家级难度 + 普通资源”
我认为高级岗位最危险的一种组合是：
专家级问题
• 负责人级责任
• 工程师级资源
• 普通岗位级回报
• 模糊的绩效标准
这比单纯的“工作辛苦”更加危险。
因为辛苦至少可以换来成果。
真正麻烦的是：
你承担的是一个方向的失败风险，但组织并没有给你足够的资源和决策权。
最后可能变成：
方向是你负责的。
结果是你承担的。
资源不是你决定的。
数据不是你控制的。
业务价值也不是你决定的。
这种岗位最容易出现“吃力不讨好”。
八、招聘流程又暴露出另外一个问题
这个岗位二面已经通过。
但之后HR又发来了笔试。
而且前面面试的时候其实已经提到过笔试。
后续还有北京线下HRBP面。
从企业角度说，增加考察环节并不一定错误。
问题在于：
岗位级别越高，招聘方式越应该体现对高级人才的尊重和双向选择。
对于1～3年的工程师：
技术面 + 笔试
完全可以理解。
但如果是在招聘一个：
APT + AI + 检测 + 归因
这种高级专家甚至方向负责人性质的人，候选人已经经过多轮技术面，并且二面通过之后，仍然继续增加标准化笔试，那么候选人自然会重新评估：
你究竟把我当成什么级别的人来招聘？
所以我后来直接跟HR表达了：
我认为整个招聘流程的沟通成本比较高，也让我感受到诚意不足。
这里的“没有诚意”并不是说HR个人态度不好。
恰恰相反，HR后来还和我聊了二十多分钟，把很多事情都沟通清楚了。
问题在于：
招聘机制本身没有充分体现这个岗位的人才稀缺性。
九、我甚至直接问了HR一个问题
启明星辰本身已经有威胁情报中心，也有研究APT的团队。
我当时直接问：
既然公司内部已经存在相关团队和人员，为什么不直接从内部调一个人过来？
这个问题对方没有给出让我信服的答案。
从组织管理角度看，这其实是一个值得思考的问题。
如果一个公司真的认为：
APT检测挖掘是未来非常重要的战略方向，
那么内部人才调配、团队协作、资源整合本身就应该成为解决方案的一部分。
而不是简单地把所有要求压缩成：
“招聘一个全能的人。”
十、这可能也是这个岗位最值得警惕的地方
如果一个岗位要求：
APT研究
• 检测
• 算法
• AI
• 挖掘
• 归因
那么有两种完全不同的解释。
第一种：
公司真的有成熟的数据、平台、团队和资源，现在需要一个技术负责人把它们整合起来。
这是一份很好的专家岗位。
第二种：
公司希望找一个人，把这些东西从零开始全部搞起来。
那就完全是另外一回事。
第二种情况下，本质上可能是：
一个人承担一个团队甚至一个技术方向的全部责任。
而这正是我过去已经吃过亏的地方。
十一、所以我最终没有继续
二面通过以后，我收到笔试题。
我看了一下，直接告诉HR：
放弃。
后来我们又沟通了二十多分钟，把事情基本都说清楚了。
我甚至比较直接地表达了：
流程太复杂。
要求又高。
没有必要继续。
让他们去找“合适”的人。
这一次我没有觉得可惜。
反而有一种很奇怪的感觉：
好爽。
因为以前遇到这种事情，我可能首先怀疑：
是不是自己能力不够？
是不是应该继续证明自己？
是不是机会难得，不能放弃？
但这一次我的第一个反应是：
这个岗位的问题，我好像已经见过了。
十二、这可能就是“吃过的亏没有白吃”
过去在深信服的经历，让我知道了一件非常重要的事情：
技术难度和职业价值并不是同一个维度。
一个项目可以非常难。
可以非常前沿。
可以需要很多年经验。
甚至可以只有极少数人能做好。
但这些都不能自动推导出：
这个岗位值得长期投入。
还需要看：
• 组织是否真正需要；
• 是否有资源；
• 是否有业务闭环；
• 是否有合理绩效；
• 是否能形成市场认可的职业资产；
• 如果项目失败，个人能否安全退出。
这些问题，以前我可能不会提前想这么多。
现在会。
所以第一次吃亏，可以叫经验。
如果同样的结构再次出现，而自己完全没有识别出来，再次进去，那才是真正的问题。
不能吃第二次相同的亏。
十三、岗位级别和岗位价值，是两个概念
这次让我特别清楚地认识到：
一个岗位完全可以是高级岗位，但不一定是好岗位。
可以把岗位简单拆成几个维度：
维度 需要观察的问题
岗位级别 要求执行，还是定义方向？
技术难度 问题本身有多复杂？
资源 公司有没有团队、数据和平台？
权责 是否拥有与责任匹配的决策权？
绩效 成果能不能被客观衡量？
商业价值 技术成果能不能转化成业务价值？
市场价值 几年后这段经历是否仍然有需求？
回报 薪资、职级和承担的风险是否匹配？
启明星辰这个岗位，我认为：
岗位级别高。
技术难度高。
人才稀缺度高。
但这并不能自动证明：
它的组织成熟度、绩效确定性和长期职业价值同样高。
这就是我最终放弃的核心原因。
十四、我现在开始学会反向判断岗位
以前求职的逻辑是：
企业考察我。
现在应该变成：
企业考察我，我也考察企业。
而且对于高级岗位来说，后者越来越重要。
可以问四个非常简单的问题：
第一，这个问题是谁定义的？
如果连公司自己都没有想清楚问题是什么，那么候选人很难解决。
第二，如果没有标准答案，我有没有权力定义方案？
如果要求你负责方向，但不允许你决定方向，那么这个“负责人”很可能只是责任人。
第三，组织有没有资源支撑目标？
没有数据、没有团队、没有平台，仅靠一个专家很难凭空创造完整体系。
第四，成功之后怎么算？
这是最重要的问题。
尤其是APT、AI、安全研究等领域。
如果成功标准都没有定义，那么几年后很可能变成：
做了很多事情，但很难证明做成了。
十五、这次面试给我的最大收获，不是一个岗位
而是一种新的职业判断方式。
过去我更关注：
我够不够格。
现在开始关注：
这个岗位配不配得上我的时间。
这不是自我膨胀。
也不是认为自己“全国唯一”。
而是一个工作了多年的人，终于开始认识到：
自己的时间、经验和职业路径本身也是资源。
尤其是当一个岗位需要一个人同时理解APT、检测、算法和AI，并承担一个方向的不确定性时，候选人同样有权利问：
这个组织能给我什么？
我投入几年以后能得到什么？
如果这个方向失败，我的职业资产会增加还是减少？
这些问题没有标准答案。
但至少现在，我会提前问。
结语：真正值钱的经验，是让你在第二次看到坑的时候绕过去
以前可能觉得，职业中的失败就是损失。
后来才发现，有些失败会变成非常昂贵的知识。
第一次踩坑，你不知道：
为什么这么难？
第二次遇到类似问题，你开始知道：
哪些信号意味着它可能会很难。
再往后，你甚至可以在入场之前判断：
这个难题值得不值得解决。
这可能就是工作多年以后真正形成的东西。
不是会多几个工具。
不是多背几个技术名词。
而是看到一个岗位的时候，能够迅速判断：
它到底是在雇佣我的执行能力，还是雇佣我的解决问题能力，还是雇佣我的判断能力，又或者，是准备让我对一个方向负责。
启明星辰这次，我最终没有继续。
二面通过了。
笔试也没有做。
北京线下HRBP也没有再去。
从结果上看，我只是放弃了一个机会。
但从职业经验上看，我第一次明显感觉到：
过去吃过的亏，真的没有白吃。
至少，同样的亏，我不会再吃第二次。