AI 安全红队工程师

💵 2026 年薪资区间与平均薪资

下表口径：一线城市 · 社招 · 税前月薪（现金部分）。数字综合 2026 年公开招聘信息与薪酬报告整理，不是精确统计 —— 校招与社招、均值与中位、是否含股票期权的口径差异很大，实际请以招聘平台实时岗位为准。

平均月薪参考：约 40K（一线城市社招口径）。新岗位、供给少：能把红队结果做成可复测的用例集与修复闭环的人尤其稀缺；**一切测试限于自有或已获书面授权的目标**。

可以对照的公开锚点：2026 届校招里 AI 相关岗位月薪中位值约 2.53 万元；偏中高端的样本中 AI 岗位平均月薪约 6.07 万元；算法研究员 / 大模型算法岗位普遍在 7 万元 左右，AI 科学家 / 负责人可达 13 万元 以上。资深 AI 人才 2026 年的调薪幅度最高可达 20%–35%，高于市场平均。

地域差异明显：长三角与大湾区贡献了全国近七成的 AI 岗位需求，北京、上海、深圳、杭州、苏州的薪酬普遍高于其他城市。

🏦 岗位画像：这个岗位到底在招谁

AI 安全红队工程师的工作是用攻击者的视角系统化地找模型与 Agent 的漏洞。它和渗透测试相似的地方是「以攻促防」，不同的地方是对象变成了概率系统：同一个输入可能这次成功下次失败，所以这个岗位真正的核心能力是把不稳定的攻击变成可复现、可度量、可交办的结论。

授权先于技术。这个岗位的所有测试，只允许针对自有系统或已获得书面授权的目标开展。开工之前，下面三件事必须先落定：

• 授权范围：目标清单精确到域名、接口、模型版本、Agent 可用工具；明确测试时间窗、允许的手法、以及明确禁止的动作，并由有权人签字确认。
• 越界禁令：不触碰生产数据与真实用户信息、不做拒绝服务、不做社会工程、不测试未列入清单的第三方系统、不在未修复前公开细节、不做真实数据外泄——验证外泄通路时只在自有账号与沙箱环境里用构造数据完成。
• 留痕与报告：全程记录操作日志与时间戳，样本脱敏后归档；产出可复现的报告，包含复现步骤、影响面、证据、修复建议与风险分级，并按约定的渠道与时限交付。

没有书面授权就开测，是违规，不是「技术能力强」。面试中被问到「你测过哪些线上大模型」时，正确的回答方式是先说明当时的授权来源与测试范围。

典型用人单位分三类：模型或 Agent 厂商的安全团队（自研产品上线前与迭代中的持续评估）；企业安全团队（采购或自研 LLM 应用的上线评估与合规支撑）；第三方安全公司或测评机构（按客户授权做评估并交付报告）。

日常工作：构建攻击评测集、跑自动化红队、人工深挖高价值链路、写报告并跟进修复、把验证有效的攻击样本回归进评测集。

📅 岗位职责

• 评测集建设：越狱、提示注入、有害内容、工具滥用等维度的种子集与变体，并持续扩充与版本化
• 越狱与提示注入测试：直接注入与间接注入（来自检索内容、网页、文件、工具返回）的完整通路验证
• Agent 与工具调用测试：越权调用、参数注入、权限提升、跨会话与跨租户数据访问
• 数据外泄验证：在授权与沙箱前提下，验证是否存在通过输出通道把敏感数据带出的通路
• 自动化红队：批量变异、多轮对话攻击、跨模型比对，统计攻击成功率并人工复核
• 报告与跟进：复现步骤、影响面、风险分级、修复建议，以及修复后的回归验证
• 防御有效性评估：护栏、内容过滤、系统提示、权限最小化的验证与绕过测试
• 合规支撑：按内部评审与外部要求提供评估证据，并确保测试过程全程留痕可追溯

🗝️ 岗位技能：技术基础

必备

• 威胁建模：熟悉 OWASP LLM Top 10、MITRE ATLAS 一类框架，能把框架条目落成具体测试项
• 提示注入：直接与间接注入的原理与常见变体，理解「指令与数据共用同一通道」是根因
• 越狱手法：角色扮演、编码混淆、多语言、分步诱导、上下文污染，以及它们的失效条件
• Agent 安全：工具权限模型、参数校验、会话隔离、沙箱边界、以及工具与外部服务的信任面
• 数据外泄通路：输出通道、渲染通道（链接与图片加载）、日志与缓存，知道每条通路的验证方式
• 评测方法：攻击成功率的口径定义、样本量与方差、误报与漏报的处理
• 脚本能力：Python 批量调用与结果解析，能搭起自动化评测流水线
• 报告写作：把技术发现翻译成业务影响与可执行的修复项，这是交付物本身

加分

• 传统安全背景：渗透测试、Web 安全、权限模型与身份体系
• 多模态与语音场景的攻击面经验
• 模型窃取、成员推断等隐私测试
• 防御侧经验：护栏、内容过滤、输出校验的实现与调优
• 参与过公开的安全评测或规范的漏洞披露流程

🛡️ 技术面重点：会被问什么

• 「你怎么测越狱？」——不要答「试各种提示词」。要讲流程：先定义成功标准（什么算攻破），再构建种子与变体、批量执行、统计成功率、人工深挖有效样本。顺序感比枚举手法更重要。
• 「直接注入和间接注入的区别？」——直接是用户输入，间接是模型读到的外部内容（网页、文档、工具返回）。间接注入更危险：用户不知情、链路长、在多步 Agent 中会被放大。
• 「Agent 工具调用越权怎么测？」——先列清工具清单与每个工具的权限边界，再构造「诱导模型调用不该调用的工具、或传入不该传的参数」的场景，重点测参数注入与权限校验，以及一次注入在多步任务中如何逐级升级。
• 「怎么在不真的泄露数据的前提下证明能泄露？」——用自有账号、沙箱环境、构造的假敏感数据来验证通路是否存在，全程留痕，绝不触达真实用户数据；这一点是面试官判断你职业素养的关键。
• 「评测集怎么构建？」——按威胁建模分维度，种子来自公开研究与自研，做变体扩增，定期回归；注意评测集流向，被优化方拿到评测集会直接导致结论失真。
• 「攻击成功率怎么算？」——明确分母（样本数）、分子（成功判定标准）、判定者（人工还是模型判定），并说明多次采样的方差；只报一个百分比而不说口径会被追问。
• 「发现漏洞之后怎么处理？」——按约定渠道与时限上报、先给可复现步骤与影响面、配合修复、修复后做回归；不在未修复前对外公开细节。
• 「护栏为什么总能被绕过？」——因为防护多为启发式规则、且与攻击共用同一通道；所以要做纵深防御：权限最小化、输出校验、高风险动作前置审批、隔离执行环境。

⚖️ 业务场景：选型与权衡

🚧 故障排查

这一节对应的是「评估结果异常」——红队报告的结论本身出问题时，比漏测一个漏洞更麻烦。

• 攻击成功率突然变高：模型版本或系统提示更新、护栏规则被改、或评测集泄漏导致模型见过样本；先固定版本重跑，再查评测集流向
• 大量误报：成功判定标准太松、模型判定器被无关因素干扰；抽一批样本人工复核，重新校准判定标准
• 漏报：评测集覆盖不全、只测单轮没测多轮、只测文本没测工具链路；按威胁建模补齐维度，并定期做盲区评审
• 结果无法复现：没有锁定模型版本、采样参数与会话状态；测试方案里必须固定这些变量，否则结论不可用
• 修复后回归仍失败：修复只针对了单个样本，没有覆盖变体；把变体纳入回归集，避免「补丁式修复」

💵 成本优化

• 自动化打底加人工深挖：让脚本跑上千条变体，人只花在高价值链路上，这是最有效的组合
• 先粗筛后复核：用低成本模型初筛可疑样本，再交人工或更强模型确认
• 种子复用与变体自动扩增：维护好种子库，避免每次从零设计用例
• 分级测试节奏：日常只跑核心回归集，上线前才跑全量，避免每次都做最贵的评估
• 先在自有环境验证手法：用本地可部署的模型把攻击手法跑通，再对授权目标做正式验证，减少无效调用

♾️ 项目经历怎么讲

这个岗位的项目经历，第一句就要让人听出你知道边界在哪。用三段式：

1. 授权与范围：测试对象是谁、授权来源与范围、时间窗、明确禁做了什么，这一步不能省
2. 方法与发现：威胁建模怎么做的、评测集怎么构建、自动化与人工怎么分工、发现了哪类问题、影响面多大
3. 结果与闭环：修复建议是什么、修复后回归结果如何、有没有沉淀成可复用的评测集或防护规则

正例：「在自有产品上做上线前评估，授权范围覆盖模型接口与两个内部 Agent。我按框架拆出测试维度，构建了种子集加变体的自动化流程，人工深挖了几条多步链路，发现一类工具参数校验缺失的问题。报告按约定渠道提交并附复现步骤，修复后回归通过，相关样本也进了回归集。」

反例：「我破解过某大模型的限制，把截图发在社交平台上。」——没有授权、没有留痕、没有修复闭环，这在面试里是直接的淘汰项，无论技术多强。