随着先进人工智能模型的兴起，开放式在线夺旗赛 (CTF) 的形式已经名存实亡。AI 代理现在可以自动解决大量中低难度甚至部分高难度的题目，这使得比赛不再是衡量人类安全技能的标尺，而更像是一场比拼计算资源和金钱的“付费游戏”。这种转变不仅让传统排行榜失去了意义，也破坏了以学习和成长为核心的 CTF 生态。最终，安全社区的未来需要依靠线下活动和专用学习平台来延续，而不是一个已被技术根本改变的竞赛形式。
从辅助工具到自动求解
最初，当 GPT-4 出现时，部分中等难度的 CTF 挑战变得可以被“一发解决”，即通过单个提示就能直接获得解法和 flag。但这并未引起太多关注，因为高难度挑战基本不受影响。
真正的转折点在于，当模型的能力强大到足以自主完成推理、编写解法，而人类只剩下复制粘贴 flag 的工作时，问题的性质就变了。
- Claude Opus 4.5 的出现: 几乎所有的中等难度挑战和一些高难度挑战都变得可以被 AI 代理攻克。通过简单的编排，参赛队伍可以为每道题启动一个 AI 实例，让系统自动解决大部分题目，人类只需处理剩下的难题。
- GPT-5.5 终结比赛: 新的模型甚至能够“一发解决” HackTheBox 上的“疯狂”难度挑战。这意味着，只要有足够的计算资源，在 48 小时的比赛中，通过 AI 代理获得高难度题目的 flag 成为可能。
这种变化彻底改变了游戏规则。拒绝使用 AI 的团队不再只是放弃便利，而是在玩一个更慢版本的游戏。
比赛的变质与核心价值的流失
当 AI 成为主导力量后，CTF 比赛的性质发生了根本性的变化，其负面影响是显而易见的。
- 沦为付费游戏: 比赛变成了“谁能负担得起运行足够多的代理，使用足够长的上下文，持续足够长的时间”，而不是比拼谁的技术更强。排行榜衡量的是 AI 编排能力和投入资金的意愿，而非安全技能。
- 排行榜失去意义: CTFTime 上的排名开始变得“不对劲”。一些曾经的传奇队伍逐渐淡出视野，而排行榜越来越无法反映真实的人类技术水平。
- 挫伤设计者的热情: 如果花费数周精心设计的题目在几分钟内就被 AI 代理攻克，那么挑战设计者作为一门“艺术”的创作热情将大大受损。
- 顶尖人才流失: 许多真正热爱 CTF 并通过它成长起来的顶尖选手，由于比赛的乐趣和挑战性不复存在而逐渐失去兴趣，这正是 CTF 社区过去培养和留住的人才。
CTF 给人的感觉更像是一团可以轻易“作弊”的烂摊子，而不是一场真正的竞赛。你在 CTF 中的表现，已经不再像过去那样能够定义你的技能水平。
对常见辩护的逐一反驳
面对这种变化，社区中出现了一些试图安抚人心的声音，但这些观点往往站不住脚。
- “初学者不受影响”的说法: 这个观点忽略了排行榜的“阶梯”作用。CTF 不仅是解题，更是一个让新人能看到自己进步、不断攀升的反馈系统。当排行榜被 AI 主导时，新人在建立自己的直觉之前就被迫使用 AI，这是一种阻碍主动学习和奋斗的“反模式”。
- “CTF 并未消亡，顶级决赛依然困难”: 这种辩护是错误的。少数精英决赛并不能拯救大多数人参与的开放式在线预选赛。如果通往决赛的道路被 AI 自动化，那么真正有资格的选手将越来越少能接触到那些真正困难的挑战。
- “AI 就像网络安全的‘国际象棋引擎’”: 这个类比不成立。国际象棋引擎在正式比赛中是被严格禁止使用的。它们用于赛后分析、训练和练习，丰富了整个生态，但并未取代比赛中的人类选手。
- “主办方可以适应”: 主办方几乎无法反击。禁止使用 AI 的规则在开放式比赛中形同虚设且无法强制执行。为了对抗 AI 而设计的题目，往往对人类选手也变得“不友好”，充满了猜测和过度工程化，这并非真正的解决方案。
未来的出路在哪里？
开放式在线 CTF 的形式已经死亡。假装一切没有改变只会让问题更难被诚实地讨论。真正的出路不在于挽救一个已经失效的模式，而在于重新聚焦社区的核心价值：学习、成长与连接。
- 转向学习平台: 对于初学者而言，picoGym、HackTheBox 这类以教育为核心的平台是更好的选择。在这些环境中，目标是真正的学习，而不是为了在虚假的排行榜上攀升。
- 珍视社区联系: CTF 带来的最宝贵的财富是它所建立的社区。无论比赛形式如何变化，我们都不应失去这个充满热情、智慧和友善的群体。
- 拥抱线下和社交活动: 诸如 SecTalks、学生会议和本地聚会等活动，是保持社区联系、延续学习热情的绝佳途径。
尽管我们可能很难找到过去那种比赛的替代品，但我们围绕它建立的那个卓越社区，在当下比以往任何时候都更加重要。