像风投一样规划技术研究

我从事漏洞研究工作有一段时间了，过去一直低头做纯技术性的工作，最近在思考年度规划时，遇到一个难题。老板要的是“确定的KPI结果”，而研究的本质却是“天然的不确定性”。本文记录一些我的思考。

一、背景

研究型工作与工程型或运营型工作不同。工程追求标准化和复用，运营追求流程和效率，而研究则充满了不确定性、探索性和长周期性。 因此，在做研究项目规划时，不能仅靠传统的“时间线+里程碑”来约束，更需要体现前瞻性、方法论和战略高度。

诚然，充分自由的环境是开展研究工作的保障，但在一个商业组织追求完全自由的研究是不现实的。 而如果所有研究项目都追求确定性产出，则又可能会导致我们倾向于“先有把握再立项”，或者只做修修补补的微创新。 这种畏畏缩缩、不敢大踏步向前的状态，虽然短期内能安全完成上级的KPI指标，但长期来看，会丧失研究的“新意”和“锐度”，最终导致团队技术平庸化，失去了“先进性”。

二、解决思路：构建研究的“投资组合”

在备受困扰时，我突然想到，不妨将研究资源（时间、人力、硬件研究资源(如算力））类比为风险投资的本金。 在投资领域，存在一个著名的“不可能三角”：高收益、见效快、低风险，三者很难同时满足。

• 高收益、见效快，通常伴随着极高的风险（如高倍杠杆）；
• 见效快、低风险，通常收益极低（如货币基金）；
• 高收益、低风险，通常需要极长的周期来兑现（如长期持有优质蓝筹或早期天使投）。

试图寻找一个完美符合三者的项目是不切实际的。因此，成熟的投资者会做资产配置。同理，我们在制定研究规划时，也应该配置不同属性的项目：

• 成长型资产：短期回报低，但具备长线复利效应（对应主线研究）。
• 防御型资产：收益一般，但确定性极高，几乎无风险（对应保底类专项）。
• 进攻型资产：收益巨大，风险也巨大，可能归零（对应高难度攻坚）。

另外，尽管存在不可能三角，但我们也可以试图寻找：

• 完美型资产：收益大且零风险（极少见，属于由于信息差或技术代差带来的红利）。

基于这个逻辑，一个能提供先进性的研究项目规划应当按照以下维度进行配置。

三、规划思路

1. 长线：主线研究（成长型资产）

类比科创产业投资，坚持长期主义，以时间换空间。

选定一个可以执行 5-10 年的研究目标。这项目标不应是某个具体的研究目标，而应是类似于当下或未来关键的基础设施。 在这个领域里，我们初始能力可以很弱，可以落后于业界，但贵在坚持。通过持续的投入，从原理层面吃透，以时间换空间。这个领域必须有足够的深度和门槛。正是因为难，一旦我们突破了临界点，就能构建起极高的技术壁垒，让对手难以在短期内追赶。 这个策略适合应用于愿意和具备在一个领域长期投入环境的团队，前1-2年可能产出寥寥，但3年以后将进入爆发期，产出高质量、体系化的成果。

2. 短线：短平快研究专项

灵活的战术动作，解决生存问题，维持团队热度与士气。

以短平快的研究专项为主，目标是快速出成果。在开展前需严格预估成果价值（ROI），保障核心时间投入，切忌并行开展过多专项导致精力分散。这些专项往往可以从“主线研究”的过程中衍生出来，也可以是为了响应当下的热点。 我将短线专项细分为三类：

2.1 完美资产：收益大，零风险（红利型）

利用信息差、技术代差或新业务上线初期的混乱，实现降维打击。

这类机会通常出现在新技术栈刚发布或者新业务刚上线，这类项目不需要太深厚的长期积累，需要的是敏锐的嗅觉和快速的工程化能力。 这是可遇不可求的“捡钱”机会，不能作为规划的主体，但要在规划中留出“机动时间”以捕捉此类机会。

2.2 防御资产：有确定性成果（保底型）

收益可预见，风险极低，属于“只要做就能有产出”的工作。

这是KPI 的基石，例如对已知攻击面的变种分析（N-day 分析）、基于成熟 Fuzzing 模板的适配、合规性检测工具开发等。这类项目用来确保个人/团队在年底考核时有“及格分”。它提供了安全感，让团队有底气去在其他项目上冒险。 应尽量将此类工作流程化、自动化，减少对核心研究时间的占用。

2.3 进攻资产：收益大到值得冒险（博弈型）

高风险、高回报。可能颗粒无收，但一旦成功就是“核弹级”成果。

这通常是一项顶级挑战，可能是业界无人区，或悬而未决的难题。 在规划时，必须明确这类项目存在“归零”的风险。领导层需要对失败有包容度，认可过程中的技术积累（中间产物）也是价值。 这类项目通常能给团队带来巨大的行业声誉，产出顶级会议级别的议题，是区分“普通团队”和“一流团队”的关键。

四、总结

在制定年度规划时，以上各项的比例不设限制，应根据个人或团队的风格、所处的发展阶段进行动态调整。 核心原则是我们不能因为追求 KPI 的安全感而只做防御型项目，那样会逐渐平庸；也不能因为盲目追求高大上而全盘押注进攻型项目，那样可能面临颗粒无收的崩盘风险。 一份先进的研究规划，本质上是一份风险对冲与价值最大化的资产配置表。既要有仰望星空的勇气，也要有脚踏实地的底气，更要有敏锐捕捉机会的灵气。