以下的回答来自TK教主的微博
这两年进场有人问类似“做安全研究挖不到漏洞怎么办”这样的问题，这里统一回复一下。
早年没有信息安全专业，搞漏洞研究的全都是因为爱好这个，自己主动来搞的。不适合干这个，搞不出来的，自然也就还干本行去了。所以早年没有人抱怨为什么研究不出东西。
现在信息安全专业开设的越来越多，有些同学看别人搞安全研究，自己也想搞。搞不出来，就四处到找人为什么自己搞不出来，怎么才能搞出来。
首先，必须要泼一瓢冷水：由于性格、能力等多方面原因，无论是不是学信息安全专业1的，世界上大部分人都不适合做漏洞研究，就像大部分人都不适合做职业运动员一样。
你们琢磨以下漏洞是什么？漏洞是程序员犯的错误。那些著名大公司软件的漏洞是什么？是面试好多轮才能入职的名校毕业生的程序员犯的错误。而且这些公司里面还有很多面试好多轮才能入职的名校毕业生的人做安全。他们都没查出来，才能留下来让你去发现。
我曾给微软中国的QA做过培训，和他们解除了数天。这些人体现出来的平均水平肯定是在国内安全行业(不特指漏洞研究)之上，其中有几个还相当出色。
所以，挖不倒漏洞是正常的，挖到才不正常。信息安全工作有很多方向，学信息安全，不一定非要都做漏洞研究。