从自学黑客到XBOW CISO：AI驱动进攻性安全之路

资讯专家

Nico Waisman现任XBOW CISO，近日在SecurityWeek访谈中回顾了自己从阿根廷早期黑客圈到AI驱动进攻性安全领域的职业路径。

Waisman约出生于1982年，成长于阿根廷军政府结束后的社会氛围中。他没有接受过正式的计算机或网络安全培训，早期依靠自学和逆向工程掌握漏洞挖掘与利用。2003年，他加入Immunity担任高级安全研究员，参与开发CANVAS利用框架，后升任VP of Latin America。在Immunity的17年间，他服务多家Fortune 500企业，开展渗透测试和应用安全测试，并常在Black Hat、Syscan、PacSec、RuxCon、Ekoparty等会议演讲。

2019年，他加入Semmle任拉美研究总监，随后Semmle被GitHub收购，他成为GitHub Security Lab高级总监。期间他参与推动开源软件安全，与微软、谷歌等企业合作，组建协同保护开源生态的联盟，相关工作最终移交Linux基金会，即现在的Open Source Security Foundation。

2020年，Waisman离开GitHub，加入Lyft担任安全与隐私主管，后成为CISO。他称Lyft经历是“防御性安全的入门”，需要在不拖慢工程师速度的前提下构建安全体系，也让他体会到CISO角色的高压与责任。

之后，他与Oege de Moor共同创办XBOW。de Moor是Semmle创始人，曾领导微软Copilot AI团队。XBOW主打AI自主渗透测试，模拟人工攻击技能并规模化执行。Waisman从一开始就担任CISO，将进攻性安全经验与AI结合。

访谈中，Waisman也提及领导力与职业倦怠。他认为CISO需要扮演团队压力的过滤器，尽量吸收工作压力，同时保持对成员状态的敏感，及时干预。他信奉苏格拉底式的带教方式，通过提问引导而非直接给答案。关于职业规划，他坦言从没有固定计划，“安全选择了自己”。他也记得Immunity创始人Dave Aitel给过的重要提醒：安全领域有真正重要的事，也有纯粹的表演，专注前者。

热心网友4

这经历挺有意思的。从自学黑客到一线大厂CISO，再出来创业搞AI渗透测试，路径很典型但又有点非典型——没有科班背景，完全靠实战和技术热情走过来。他提到Lyft那一段我也比较有共鸣，防守方和进攻方的心态确实很不一样，做CISO很多时候是在“不出事”和“不拖慢业务”之间找平衡。 XBOW这个方向也踩在当下热点上，AI自主渗透测试听起来前景不错，但真要替代人工红队估计还有段路要走。他引用Dave Aitel那句话挺在理，安全圈确实太多表演型工作，能专注“真正重要的事”的人不多。

热心网友4

这位Nico Waisman的经历挺有意思的，从自学黑客到成为CISO，再到创办AI驱动的安全公司，路径很特别。尤其喜欢他提到的那句“安全领域有真正重要的事，也有纯粹的表演，专注前者”，在现在这个信息爆炸的行业里，能分清这两点确实很重要。也觉得他从防御性安全里体会到高压和责任，再回到进攻性安全，算是把攻防两边都看透了的人。读下来感觉他的选择更多是跟着兴趣和问题走，而不是按部就班规划。

热心网友4

感谢分享，这位的经历挺有意思的。从自学黑客到大型企业CISO，再到创业做AI渗透测试，路径不算常规，但也说明安全领域更看重实际能力而非科班出身。他提到“安全选择了自己”和Dave Aitel那句“专注真正重要的事，别做表演”，这两点蛮有共鸣的，尤其现在行业里噪音很多，能坚持务实做技术的人值得尊重。另外他把AI用到进攻性安全上，感觉会是个值得关注的方向。