我在字节这五年

字节一年，人间三年，这么一算，我已有15年工龄，22+15，那不就是37岁？也到了传统程序员该退休的年纪。开个玩笑，不过也不算开玩笑，五年字节生涯，该画个句号了。

前两天小红书上被删帖的《字节祥子》，「拼命卷那么多横向项目，最终换来的不过是简历里的两行字」我读得发毛，刚好最近病假请的勤快，我也有时间沐浴着余杭区之外的夕阳，捋一捋这五年的故事，重新评估这份工作带给我的价值。

火山云安全这两年

这两年我做的是火山引擎云计算产品线的安全架构师，当然大多数人心里认为的是——这本质就只是个安全运营大头兵，云上数不清的漏洞等着去发现和修复，在前AI时代（Opus4.6之前）还可以慢悠悠地搞些修复方案来打发时间，干得小的就是漏洞运营，干得大的美其名曰安全架构设计。到25年中搞得正规了，把卡点流程挪到了产品立项阶段，提前规划一些资源隔离、风险治理降本、经典问题规避与加固的安全设计，勉强算得上是安全架构设计。不过后来架构师被转成了BP，说实话我至今不知道BP到底是什么概念，从scope来讲BP是业务线安全负责人，但是从职能上来讲，漏洞修复、风险挖掘、架构设计、对客解释、balabala，一堆事儿都包在里头。（此处删去五千字）TL;DR，坑太大，心累了。

心累之余，还是得非常正面地评价这段安全架构师的工作经历，24年末-26年是火山云的上升期，更多的机器、更多的卡、更多的新产品，也带来了很多新机会，当然这里指的不是产出机会，而是探索新威胁场景的机会。我不确定其他安全BP如何体会，但在我所负责的云计算产品线，我摸到了PCIe外设、DPU、服务器的硬件安全架构设计与落地工作，也参与了一些机密计算、可信计算在新硬件上的设计工作，以及折磨我许久的云手机容器安全（高通内核加固、vArmor/gVisor研发与落地）、和让我圆虚拟化逃逸梦的Agent Infra高密虚拟化架构（pvm、kvm、qemu、dpdk的漏洞挖掘）、还有被我常拿出来吹嘘的全量PRoT部署（在一个追求短平快的云厂商搞定可信基座这种长期高价值项目实属不易），这绝对是难能可贵的，兼顾技术、谈判、项目管理的学习机会。我的NVIDIA的CVE、KVM的CVE、Blackhat Asia的议题、字节跳动技术团队公众号的几篇推送，也都拜这段经历所赐。

再回看这五年

想起我20年末秋招时，正在纠结到底是去阿里还是字节，当时正在参加补天杯，赛后碰到玉伟（我的二面面试官，也是我在字节的第一个leader），玉伟说之前如何如何干啃Linux源码，如何如何熬过低谷期挖到4G协议的漏洞，又如何在字节靠怎样的业务机会挖到WiFi协议栈漏洞。我当时就觉得得跟着这样的人干安全研究，嚼得菜根，做得大事，刷V8、iOS、IoT都不如背靠实际业务来做安全研究，不仅有业务价值，还能赚个名声。

于是21年3月我就加入了字节，最早是做工区热点监控，顺带挖办公网的IoT设备以及飞书OEM的IoT设备，当时做了一些比较令人印象深刻的近源入侵工作（可能一些老蓝军同学还记得）。

第一个变化是在22年上半年，PICO被字节收购，我开始做VR设备安全。和xynm一起，挖了一堆设备接管、账号接管（似乎之后再也没有发现过这样critical的漏洞），同时开始做投屏相关的音视频协议研究（投屏是VR设备的相对通用的攻击面），当时把开源的闭源的音视频协议分析得很深，每天高强度写afl的fuzz driver，刷了几十个CVE、CNNVD和GHSA，后来还给老沙的一篇MM贡献了些素材。

与此同时，秋实从字节离开，我就接手了他在Data-SYS的安全保障工作，又回到了传统软件安全舒适区。由于要审查供应商的闭源软件，还有机会研究下Binary SCA。于是乎我从ACFG到structure2vec再到GNN最终到code embedding，手动搓了个遍，顺手用第一代引擎参加了22年的Datacon的软件安全分析赛道，混了个前十。

第二个变化是在23年末24年初，玉伟团队被拆分，大多数人被挪到Flow安全，我当时对Data-SYS的“OS安全”、“固件安全”抱有幻想，而且当时刚拿下23年Datacon漏洞分析赛道冠军，所以也想当然地认为我作为攻防保障最后一个懂fuzz懂内核且相对懂硬件的人，我能留在攻防保障扛起一片天。很显然事与愿违，这里就不展开赘述，长话短说就是兼了一部分绝密工作最终才不至于被M-，总之到24年末我就开始准备活水，25年初活水到了火山云安全。

一点吐槽：重力不止平庸

管理办公室说，大家要摆脱平庸的重力，但在我看来，想要摆脱平庸的重力成为真正的“宇宙厂”，首先需要在评价体系上摆脱“救火的重力”。

字节的中台性质部门，虽然不会明面上说，但本质上大多鼓励救火，不鼓励治于未病，不鼓励基础工作。然而故意纵火也是必然不行的，那么找不到一场曝光度或者难度为N的救火，就只能找N场曝光度或者难度为1的横向治理，卷横向卷得越大，你的scope和影响力就越大，偶尔碰上那么一两场救火，你的晋升和绩效才有故事可讲，才能“立体”。

职场常说，做事讲究权责对等，有多大的权利，担多大的责任，但是在火山，这句话得反过来说，你愿意担多大的责任，你才能有多大的权利。这很残酷，鼓励大家开杠杆干活，甚至在谣传强制比例的背景下，会把员工变成一次性员工。

写在最后

流水不争先，争的是滔滔不绝，人生不应该被局限在工作内，值此离别之际，我祝各位吃好睡好，股票账户每年涨50%（像我一样）。