零、前言

随着现在Agent、vibe coding、MCP等概念词汇的出现，以及AI算力、智力指数级的井喷式爆发，不管是作为计算机专业的学生，还是一名摸爬滚打的 CTFer ,我是肯定要去体验一下所谓Agent和vibe coding到底怎样，以及用完之后可能的后遗症…

一、开始的开始

最开始使用所谓MCP是在打完软件系统安全赛的初赛后，同队的lzq建议我给IDA Pro安装一个mcp，说是可以辅助逆向分析，甚至可以直接出 flag 。我一听可以直出 flag ，于是就上github搜了一下这个mcp (具体是这个项目 ida-pro-mcp )，好家伙，将近 10K 的Star。话不多说，我直接下载了之后找了一个教程全套安装了下来，进行了初次体验。

根据这篇博客IDAPro–MCP详细配置教程(通杀) - Alexander17 - 博客园，我使用的配置就是基础的IDA Pro 9.0 + VS Code + Trae。当时的条件非常的艰苦(bushi)，啥也不懂，完全就是一个在AI时代的原始人（虽然能用上GPT、Gemini，但都是网页版的），所以在用了这个逆向方向的MCP得到一个 flag 后，那种感觉还是蛮爽的，虽然不是自己手搓的，但还是有成就感在的（这里附上一张用 MCP得到逆向题flag的图）

AI1

这之后，虽说这个ida-pro-mcp能够使逆向过程自动化，但很大程度取决于你用的AI的强大程度。像之前我只用得起Qwen3 coder啥的，所以…结果摆在这，有时还不如我自己眼睛看代码并手搓EXP，这样有的时候说实话还快一点拿到 flag ，所以就暂时不用了。

二、开始！

后来稍微开智了一点，从同学那儿了解到了有opencode这么一个智能体，也就是Agent。于是觉得新鲜就自己下了一个玩玩，配置非常的简单，界面也比较的容易上手

AI2

记得当时手搓了一个全局的配置 opencode.json ，然后用这个opencode写了蛮多的小工具，包括还有学校专业课的一些作业、实验作业和选修课的论文啥的，效果都蛮好，速度快，鲁棒性也可以，感觉自己老厉害了。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
{
  "$schema": "https://opencode.ai/config.json",
  "mcp": {
    "ida-pro-mcp": {
      "enabled": true,
	    "type": "local",
	    "command": [
	  	  "~\\IDA\\python311\\python.exe",
	  	  "~\\IDA\\python311\\Lib\\site-packages\\ida_pro_mcp\\server.py",
		    "--ida-rpc",
		    "http://127.0.0.1:13337"
	    ]
    }
  },
  "agent": {
    "IDA-agent": {
      "description": "IDA Pro 逆向分析智能体",
      "prompt": "你的任务是在...",
      "tools": {
        "write": true,
        "edit": true
      }
    }
  },
  "autoupdate": true,
  "skills": {
    "paths": [
      "~\\.opencode\\skills"
    ]
  }
}

当时是有佬开源了MiniMax M2.7的 API，可以爽爽蹬，所以就用的蛮多的次数，基本上每天都有在跟这个opencode对话。包括那段时间比赛也有蛮多，也可以用这个分析。

三、稍微进阶

再之后也是了解到了cc-switch，能够在不同的供应商之间灵活切换，也满足了有时有不止一个供应商的需求，特别是如果有一个供应商的额度蹬完后还得手动编写 json 文件来配置就很麻烦，而cc-switch则可以解决这个问题，直接切换不同供应商；同时这个里面还可以配置多个MCP、Agent还有多种提示词、Skills，满足了不同场景的编码方式、代码侧重点的需求。

在宿主机上，我安装了有七十几个skills，都是关于CTF、逆向、前端+后端、代码审计啥的，

AI3

还记得有一天晚上拿着刚下的关于实网渗透的skills尝试拿一个EDUSRC，他还真就有模有样的渗透了某某大学的官网，然后横向、纵向渗透…到后面编写了报告，我交上去，被拒绝了！哼哼…

然后学长就告诫我说要小心这玩意整出什么幺蛾子出来，因为我当时并不知道我给的权限是多少，所以没太当回事.

四、天塌了！

在打”有名”的ISCC期间，我再次尝试用我亲爱的opencode分析二进制程序、编写Writeup和 (批量生产 EXP)。期间，我想着美化一下我的UI界面，于是让他自己修改UI界面的代码，也就是编写美化插件。中间出错了，我输入“删除所有之前涉及修改的代码，回退到上一步”，然后坐等回复。。。

随着终端推进，我习惯性的看了一下输出，看到突然蹦出的QQ.exe、IDA.exe等程序，忽然脱口一句”卧槽！！！”，赶紧停止了输出，再点开我软件下载的常用盘，只看见整整少了150G的内存！！！

cnm！我赶紧找了数据恢复软件尝试恢复数据。虽然说完整的文件结构和文件名都恢复出来了，就连文件大小都一样，SHA256和CRC32等一样，但是用记事本（没错，记事本yyds）打开全是乱码，就连原本在md软件里打开是可读字符的现在也是乱码。。。

无奈之下，我只好一个一个软件重装了，不过幸好虚拟机没给我删了 :(

五、新的开始

经过了上一次的惨痛教训，我把全部的Agent都安在了虚拟机里，在Ubuntu里安装了opencode、claude、codex，最初还安装了openclaw来着

AI4

当然，如果是用VS Code + SSH的话，我一般还是用里面的opencode，毕竟有免费的可以薅…

在虚拟机安装的话，有一点就是得多保存点快照，以防有什么意外发生

在Windows虚拟机里我就安装了codex，以精为主

AI5

这时就会有人问了，为啥现在吃这么好了，都用上gpt5.5了？其实算是真正开智了，用上中转站了。毕竟如果在官网或者官方渠道买套餐、Plan啥的虽然很稳定，但就是贵了。虽然像国模（deepseek V4、GLM 5.1这之类）便宜，但质量方面不敢保证。。。所以还是选择了中转站

但有一点是中转站毕竟是中转，额度、速度方面没法保证跟官方一样，一分钱一分货，大不了就是每天少用点，每天定时领取额度。

六、心得

最近靠着codex的中转福利，我也是搓了几个小工具，包括像图片下载助手、CTF逆向工具箱这种，还顺便更新了一下我的博客站点，目前还准备搓一个适配鸿蒙端的codex-mini应用，并支持在智能穿戴设备上同步、输入并等待输出。。。

总之，学会Agent还是任重而道远，而我才摸了一点皮毛而已。