CTF 场景已死

# CTF 界已死 来源：https://kabir.au/blog/the-ctf-scene-is-dead ## 我凭什么说这话？ 我是在2021年开始玩CTF的，同年我进入大学。我的第一场CTF是HCKSYD，一个48小时的单人CTF。我用了2小时就完全解出来并获胜了。我彻底上瘾了。这让我后来和Blitzkrieg团队多次赢得澳大利亚最大的CTF——DownUnderCTF。Blitzkrieg当时是澳大利亚最强的团队之一。后来我加入了TheHackersCrew，一支国际顶级团队，在CTFTime（该领域用作记分牌的主要全球排名和活动日历）上持续排名靠前。和他们一起，我参加了世界上一些最负盛名的CTF，一直稳定位居前十，直到2025年底。 我这样说不是因为我讨厌CTF。恰恰相反，CTF正是让我爱上安全的东西。它们教会我如何学习，给了我衡量自己的方式，并让我认识了许多我在这个领域最尊敬的人。看着人们假装这个形式还行得通，这很令人沮丧，因为原来的游戏已经不在了。 ## 什么变了？ 随着AI工具能力的提升，尤其是在GPT-4刚发布时，相当大比例的中等难度CTF挑战开始变得"一次性可解"，即用户只需一个提示就能得到解法和flag。你可以把一道密码学挑战粘贴到ChatGPT里，十分钟后回来，就已经有解了。当时我们没太当回事。困难的挑战大多未被触及，节省的时间也不足以毁掉比赛。 问题从来不是AI能帮忙。CTF玩家一直都用工具。问题在于，当模型自己进行推理、编写解法，留给人类的只有复制flag这一件有意义的事时。 ## 进入 Claude Opus 4.5 当Opus 4.5发布时，基调变了。几乎所有中等难度的挑战，以及一些困难挑战，都变成了可被智能体解决。Claude Code把所有东西打包成了一个CLI，并使得连接其他CLI和MCP工具变得容易。构建一个编排器，利用CTFd API为每个挑战启动一个Claude实例，变得轻而易举。你可以让系统运行第一个小时，然后只处理剩下的挑战。 这改变了游戏规则。拒绝使用AI的团队不仅错过了便利，他们是在玩一个更慢版本的比赛。开放在线CTF开始变成一个问题：你能多快自动化简单和中等的工作，然后你还有多少人力去应对最难的挑战。记分牌开始衡量的是编排能力和使用前沿模型的意愿，有时甚至凌驾于安全技能之上。 其影响是显而易见的。CTFTime排行榜开始感觉不对劲。一些曾经持续接近顶峰的传奇团队出现得少了。玩家活跃度感觉降低了。那些把CTF视为艺术的挑战作者，如果自己花费数周精心打造的东西几分钟内就被智能体吃掉，他们也就没什么理由再去做了。 ## GPT-5.5 一锤定音 GPT-5.5和GPT-5.5 Pro发布后，我一直在大量使用它们。根据基准指标，5.5接近Claude Mythos的能力，而Pro很可能超越它。这些模型可以一次性解决HackTheBox上高难度的无泄露堆利用挑战（Insane难度、主动攻击、无泄露）。它们能解出一场小型CTF组织者能实际创作的大部分题目。如果你在48小时的CTF中编排Pro去对付Insane挑战，很有机会在比赛结束前拿到flag。 这使得开放CTF变成了"付费即赢"。你投入的比赛token越多，就能越快清空板子。像Alias Robotics的alias1这样的专业网络安全模型，相比通用前沿LLM变得没那么重要了。比赛正在变成"谁能负担得起运行足够多的智能体、用足够长的上下文、跑足够久的时间"。 CTF感觉更像是一团可以钻空子的烂摊子，而不是一场比赛。你在CTF中的表现不再像过去那样定义你的技能。通过CTF表现来招募安全从业者变得越来越没意义。这甚至不是衡量AI技能的好方法，因为CTF所需的大部分编排工作已经开源或只需用自然语言编写代码（vibe codeable）就能完成。 ## "新手没问题"的说法 我看到过各种说法，认为新手仍然可以像以前一样从CTF中学习。这些说法忽略了记分牌。CTF不仅仅是一组谜题。它是一架梯子。即使作为新手，你也有东西可以攀登。你可以看到自己进步，解决更多挑战，排名更高，加入更好的团队，并随着时间的推移变得更有竞争力。 这个反馈循环正在被打破。如果可见的记分牌被使用AI的团队主导，新手就会在建立AI正在取代的那些直觉之前，就被推向使用AI。这是一个反模式。它阻止了主动学习，而主动挣扎才是真正能教会你的那部分。而且，投入真正的努力却看不到明显的进步，因为上方的梯子已经被自动化了，这完全令人失去动力。 这也改变了挑战作者想设计什么。如果新手CTF变成了另一个人们悄悄粘贴提示并爬上记分牌的地方，作者们就有更多理由把精力投入到学习平台上去。至少像picoGym和HackTheBox这样的平台上，期望是教育，新手也更少被诱使去欺骗自己而学不到东西。 新手最好使用picoGym、HackTheBox和其他实验室环境，那里的重点是实际学习，而不是假装公开记分牌仍然反映人类成长。 ## "CTF没死" 我看到一些"希望贴"说CTF没死，只是被AI增强了。他们经常拿DEF CON这样的CTF来论证AI仍然无法解决一切。这是真的，但这是错误的辩护。 最顶尖的最高级别决赛只有很少的参与者，而且通常需要通过比决赛更简单的预选赛才能进入。如果那些预选赛被智能体攻陷，那么能真正到达那些仍然抵抗AI的挑战的人就更少了。极少数的精英决赛并不能拯救大多数玩家实际参与的开放在线形式。 我的论点并不是每个挑战都被解决了。我的论点是，记分牌上足够多的部分已经被自动化，以至于记分牌不再具有它曾经的意义。 ## "AI对安全研究有用"的说法 CTF从来就不是为了安全研究。它们可以展示新的有趣技术，但CTF本身不是发现的目的地。仅仅因为AI在一个领域中有用，并不意味着它就应该进入该领域的竞技格局。 在CTF中，不受限制的AI几乎完全将人类从谜题中移除，把安全艺术缩减成了一个提示。当然，只要CTF存在，LLM在安全方面会越来越强，但这并不意味着竞技形式是健康的。CTF曾是一种艺术形式，一种与极客分享技术的方式，一种推动人类安全技能边界的方式。这个目的正在被剥夺。 ## "LLM是网络世界的象棋引擎"的说法 象棋被计算机统治已经超过十年了。人们用象棋引擎作为CTF中LLM的类比，但他们忽略了关键点：竞技比赛中不允许使用象棋引擎。它们用于分析、训练、解说和练习。它们丰富了比赛周围的环境，却没有取代参赛者本人。 想象一下，给每个竞技象棋选手最好的象棋引擎，并允许他们在比赛中自由使用。那会被认为是公平的吗？看着会有趣吗？能证明奖金池合理吗？能推动人类在象棋中能达到的极限吗？同样的问题也适用于CTF。 ## 组织者无法反击 CTF组织者尝试过各种技术来破坏或阻止LLM解决方案，但充其量只是暂时的摩擦。Claude Code已经不再在意旧的拒绝字符串技巧了。前沿模型越来越擅长注意到提示注入。网络搜索能力削弱了基于训练截止日期之后发布的技术设计的挑战。要求人们不要使用LLM的规则被忽视，而且在开放在线活动中几乎不可能执行。 这使得组织者处境艰难。如果他们做普通的挑战，智能体解决得太多。如果他们刻意做对智能体不友好的挑战，这些挑战往往会变得靠猜、过度设计，或者对人类也不友好。这不是真正的解决办法。它只会让CTF对所有人都变得更糟。 ## "适应就好兄弟" 这种说法令人恼火。我一直在社区里仰望的一些人也说过这话。对我来说，这完全是毫无意义的，除非你解释清楚我们要适应成什么。 如果适应意味着构建更好的工具，CTF玩家已经做了。如果适应意味着写更难的挑战，组织者已经试过了。如果适应意味着接受记分牌现在是一个AI编排基准，那么我们应该诚实地这么说，而不是假装旧比赛还存在。 即使组织者创造出当前LLM无法解决的更靠猜或更过度设计的挑战，玩家也没有好的途径在学习所需技能的同时保持竞争力。再过几代模型，那个点可能就无关紧要了。LLM安全能力的轨迹移动得太快，挑战设计无法长期保持领先。 ## 后果 那个培养了我对CTF热爱的领域正在空掉。CTFTime排行榜上几乎看不到任何历史或人类技能的痕迹了。2026年的记分牌与之前每一年相比都面目全非。TheHackersCrew以及许多其他大型且声誉良好的团队，要么不玩，要么以少得多的人参与，要么难以挤进前十。不受监管的作弊行为猖獗。一些最好的CTF，比如Plaid CTF，已经不再举办了。 这些感受并非我一人独有。我本地团队Emu Exploit的许多成员也有同感。这些人一直参加国际网络安全锦标赛，在漏洞赏金项目中表现顶级，参加Pwn2Own比赛，并在包括Black Hat在内的会议上演讲。失去兴趣的人不是旁观者。他们正是这个领域曾经产生并留住的那类人。 对于许多最在乎的人来说，CTF的乐趣已经消失了。失去的不仅仅是一个记分牌。它是一架从初学者好奇心通向精英比赛的梯子。它是挑战设计的工艺。它是一位聪明的、因为深刻理解而解决困难问题的人类所带来的感受。 这种遗产并没有被当前形式的开放在线CTF所传承。这个形式已经死了。可能有别的东西会取代它，但假装没有发生根本性变化只会让失去变得更难坦诚地讨论。这也给了AI吹鼓手更多空间，通过向社区（正是社区使训练数据有价值）推销平庸的包装来从衰落中获利。 ## 现在怎么办？ 虽然CTF/AI领域发生的很多事情都高度商业化，超出了我们的控制，但CTF对这个行业产生了巨大的积极影响。我通过CTF认识了许多善良、聪明、热情的人。我玩过一些设计最精美的挑战，也发现过一些最引人入胜的非预期解法。 CTF周围的社区是一个令人惊叹的学习、成长和联系的地方。这是我们在比赛走向何方都不应该失去的东西。作为一个社区，我们应该努力保持团结，开辟新的途径来保持热情和继续学习。与安全相关的社交活动，如SecTalks、学生会议和本地聚会，是保持联系和参与的好方法。学习平台以及它们通过Discord等平台提供的社区也是宝贵的资源。 虽然要找到我们曾拥有的替代品可能很困难，但我们在寻找新方法保持竞技精神的同时，围绕它建立的优秀社区现在比以往任何时候都更重要。