别再死磕漏洞了：Preview如何用安全专属RAG打破信息差

导语：上周，安全研究员0xrudra在推特上发了一段话，戳中了不少安全从业者的痛点：”你认识的最强黑客并不比你聪明，他们只是读得比你多。”这句话背后，是一个长期被忽视的事实——安全研究的瓶颈，往往不是能力问题，而是信息差问题。而Preview（rag.preview.is）正是冲着这个痛点来的。

一、死磕一周的漏洞，可能早有人写过解法

你有没有过这种经历？

对着一个WAF绕过死磕了整整一周，翻遍了各种文档，最后发现——两年前就有人在一篇冷门博客里详细写过，甚至还有完整的PoC。那一周的时间，纯粹是在”重新发明轮子”。

0xrudra在推文中举了一个很扎心的例子：”想想上次那个让你花了一周才搞定的漏洞。大概率那个技术早就存在，躺在某个2019年的披露帖或者你从未见过的线程里。你那一周的时间，大部分就是’还没读到’而已。”

安全圈的信息碎片化程度，已经到了令人发指的地步。顶级技术文章散落在各种小博客、GitHub Issue、推特线程、Medium专栏里。传统搜索引擎被SEO垃圾和AI生成内容严重污染，想找到真正有价值的技术细节，付出的沉没成本越来越高。

而Preview的逻辑很简单：与其让安全研究员自己去海里捞针，不如把这些年积累的安全Writeup全部索引起来，让你用自然语言提问，直接拿到精准的答案。

二、”冻结”的大模型，根本不配做渗透测试

如果说信息差是人的问题，那更大的危机在于：AI Agent本身也有严重的”知识时差”。

当前主流的大语言模型，本质上都是”冻结”的——它们的知识截止到训练结束的那一天。GPT-4-Turbo训练数据截止到2023年12月，Claude 3.5也停在2024年上半年。而安全攻防的世界里，WAF规则更新以”天”计算，CVE披露以”小时”计算。

0xrudra在推文中一针见血：”一个冻结的模型是残缺的。训练关闭那天起，它就停止阅读了，而这个领域以’天’为单位移动，不是以模型代际为单位。”

举一个具体的例子：某个WAF bypass技巧今天被披露，厂商往往在几天内就会打补丁。所以你真正能用的”新鲜技巧”，保质期可能也就几天。你拿一个2023年语料训练的模型，去对抗2026年的防线？这不是技术对抗，这是时空错乱。

Preview的核心价值就在这里：它索引的是”上周的研究”和”上上周的研究”，让你的Agent用”本月刚出现的向量”去工作，而不是靠2023年的记忆去硬猜。

三、不喂”二道贩子”总结，只给原始Writeup

大多数AI问答产品的通病是：喜欢给用户一段”似是而非、无法验证”的概述，然后让你相信它是对的。

但在安全领域，错一个字符利用链就断了。一段模糊的”建议”不仅没用，甚至可能把你带进坑里。

Preview的产品哲学非常克制，它不替代人类做决策。每次查询返回的是：原始标题（Title）、原始链接（Live URL）、精准匹配的段落（Passage that matters）。你直接读源头，自己做判断。

这种”有据可查”（Grounded）的设计，才是安全审计和实战最需要的风格。因为安全研究员只相信Source Code，不相信二手总结。

从技术实现上看，Preview采用了混合搜索策略：关键词精准匹配 + 语义向量检索。两种能力叠加，既能定位特定的漏洞类型，也能发现语义相近但表述不同的相关研究。

四、一行配置，把真实技术档案喂给AI Agent

Preview最让我觉得有想象空间的玩法，是它和AI编码工具的无缝集成。

按照官方文档的说法，你只需要在CLAUDE.md、AGENTS.md或者cursor rules里加一行配置，你的Agent就能在任务中途停下来，实时检索Preview的知识库，然后带着上周刚发布的CVE或绕过技巧继续工作——不需要你盯着。

0xrudra描述的场景是这样的：”现在，把同样的记忆交给你的Agent。在CLAUDE.md、AGENTS.md或cursor rules里加一行，它就不再靠’半回忆’去推理，而是在任务中途从真实的技术档案里检索——不需要你盯着。”

这意味着什么？意味着你的本地AI Agent，不再是一个靠”记忆”工作的”闭卷考试”选手，而是一个能随时”查资料”的实战助手。

对于做自动化渗透测试、代码审计、批量漏洞验证的团队来说，这个能力可能是颠覆性的。

五、API详解：如何用起来

Preview的API设计得非常简洁，官方文档（rag.preview.is/docs）给出了清晰的接入方式。

认证方式：用Google账号登录，在Dashboard生成API Key，格式为rk_开头的40位十六进制字符串。

搜索接口：POST https://api.preview.is/search

import requests

r = requests.post(
    "https://api.preview.is/search",
    headers={"X-API-Key": "rk_your_key"},
    json={"query": "chaining file upload bypass to admin takeover", "k": 5, "min_score": 0.1},
)
r.raise_for_status()
for hit in r.json()["results"]:
    print(hit["rank"], round(hit["score"], 3), hit["title"], hit["url"])

返回结构：每次搜索返回匹配的文章片段，按相关性排序，包含标题、原始URL和精确匹配的段落。

{
  "query": "how to prevent stored XSS",
  "count": 5,
  "results": [
    {
      "rank": 1,
      "score": 0.9876,
      "title": "Understanding Stored XSS: Risks and Prevention",
      "url": "https://www.legit-security.com/...",
      "matched_sections": [
        { "heading": "How to Prevent Stored XSS", "score": 0.9876, "text": "..." },
        { "heading": "Stored XSS Attack Example", "score": 0.91, "text": "..." }
      ]
    }
  ]
}

免费额度：每周200次调用，每月1000次调用。对个人研究员和小型Agent团队来说相当友好，无需绑定信用卡。