> **导语**：当AI可以在48小时内清掉一场CTF中几乎所有题目，当记分板上排名的本质从”人类技能”变成”AI编排能力”，这个曾经培养了无数安全人才的竞技生态，正在经历一场前所未有的生存危机。传统强队退出、老牌赛事停办、出题人花几周打造的题目被AI几分钟吃掉——这不是危言耸听，而是正在发生的现实。
—
## 一、一个资深选手的”死亡宣言”
2026年5月，一位名叫frays的安全研究员在个人博客上发表了一篇文章，标题毫不客气：**《The CTF scene is dead》**（CTF圈已死）。
这并不是一个外行的吐槽。frays从2021年开始打CTF，曾是澳大利亚最强战队Blitzkrieg的成员，后加入国际顶级战队TheHackersCrew，在CTFTime全球排名中长期保持前十，直到2025年底才退出。他的结论来自亲历者的视角：**”看着人们假装这个赛制仍然有效，这令人沮丧，因为旧游戏已经不在了。”**
文章发布后，迅速在安全社区引发轩然大波，支持者和反对者各执一词。但不可否认的是，frays所描述的现象，正在被越来越多的人所认同。
—
## 二、AI是如何一步步”杀死”CTF的
### 2.1 GPT-4时代：省时间，但难题还需人
故事要从GPT-4说起。2023年，GPT-4发布，中等难度的CTF题目开始出现”一键解答”的情况——你把一道密码学题目丢给ChatGPT，十分钟后回来，答案已经在那里了。
当时社区的态度是：这没什么大不了的。工具辅助一直是CTF文化的一部分，难的题目仍然需要人工分析，省下来的时间可以用来做更难的题。
但问题已经在悄然积累。
### 2.2 Claude Opus 4.5时代：记分板开始扭曲
2024年，Claude Opus 4.5（安特罗普ic Opus 4.5）发布，局面开始失控。
几乎所有中等难度的题目和部分高难题目，都可以通过AI Agent自动解决。Claude Code将整个流程打包成CLI工具，结合CTFd API，可以为每道题目自动启动一个Claude实例。你只需要在比赛开始后的第一个小时让系统自动运行，然后只需要关注剩下的硬骨头。
**这彻底改变了游戏规则。**
拒绝使用AI的队伍，不仅仅是”少了一个便利工具”，而是在打一个更慢版本的竞赛。公开在线CTF开始变成一场比拼：**谁能更快地把简单和中等难度的题目自动化，然后留出多少人类注意力给最难的挑战。**
记分板开始衡量”编排能力”和”使用前沿模型的意愿”，而不仅仅是安全技能。
### 2.3 GPT-5.5/Mythos时代：48小时清榜
2025年至2026年，前沿模型的能力再次跃升。GPT-5.5和Anthropic的Mythos（神谱）系列模型，已经可以在48小时内清掉一场CTF中几乎所有题目。
根据Security Boulevard的学术分析数据，在423台HackTheBox机器的测试中，”一血”时间在LLM（大语言模型）出现后急剧压缩，压缩幅度从Hard难度的27%到Insane难度的67%不等。
frays在文章中描述了他使用GPT-5.5和GPT-5.5 Pro的经验：**”这些模型可以一招解决HackTheBox上Insane难度的无泄漏堆利用题目。它们可以解决大多数小型CTF组织者能够实际生产的所有题目类型。如果你在一个48小时的CTF中用Pro版本编排Insane难度题目，你很可能在比赛结束前就拿到flag。”**
这意味着公开在线CTF已经变成了”付费就能赢”——你有多少Token可以投入竞赛，你就能多快地烧穿记分板。
—
## 三、Mythos：首个完成32步企业攻击链的AI
如果要选一个模型作为这场变革的象征，Mythos是最佳候选。
2026年，英国政府AI安全研究所（AISI）对Mythos进行了系统评估，测试结果令人震惊：
– **Mythos是首个从零开始完成TLO（目标导向攻击）测试的模型**，在专家级CTF任务中的成功率达到73%；
– 在32步企业攻击链测试中，Mythos的单次运行平均完成22步，显著超出Claude 4.6的16步平均水平；
– 在模拟企业网络接管的测试中，Mythos以30%的成功率完成完整攻击，而人类专家完成同样任务预计需要约20小时。
AISI在报告中明确指出：**”Mythos至少能够自主攻击规模较小、防御薄弱且存在漏洞的企业系统。”**
这不是实验室数据，这是政府机构的官方评估。
—
## 四、社区的真实反应：强队退出，赛事停办
frays不是唯一一个发出警告的人。
他写道：**”许多我一直在社区中敬佩的人都说出了同样的感受。这些人定期参加国际网络安全锦标赛，在漏洞赏金项目中表现顶尖，参与Pwn2Own，在Black Hat等顶级会议上发表演讲。失去兴趣的人不是旁观者，而是这个圈子曾经培养和留住的那批人。”**
具体表现是什么？
**战队层面**：TheHackersCrew及众多大型知名战队，要么不再参赛，要么大幅减少参赛人数，即便参赛也难以打入前十。
**赛事层面**：一些最好的CTF赛事，如Plaid CTF，已经停办。
**出题人层面**：花了几周时间精心设计的题目，被AI几分钟内解决，这种挫败感正在让越来越多的出题人失去动力。
**记分板层面**：CTFTime 2026年的记分板与此前任何一年都截然不同，几乎没有任何历史延续性或人类技能的影子。
—
## 五、为什么说”CTF已死”不仅仅是夸张
### 5.1 记分板衡量的是什么？
传统的CTF记分板曾经是一个完美的成长反馈系统：你解决了更多挑战，排名上升，加入更好的战队，逐步成长为顶尖选手。这条”阶梯”激励了无数年轻人进入安全行业。
但现在，这条阶梯已经断了。
当记分板被AI编排团队主导，初学者看到的不再是”努力就能进步”，而是一个被AI把持的排行榜。这不仅令人沮丧，更是一种**反学习模式**——初学者在被AI替代之前就被推向使用AI，而他们本应通过主动挣扎来建立真正的技术直觉。
### 5.2 下棋的比喻：引擎不能上场
有人用国际象棋来比喻AI辅助的CTF——顶级大师都用AI分析，但比赛仍然是人类对人类的。
但这个比喻忽略了一个关键区别：**国际象棋比赛中，引擎是不允许上场的。**
想象一下：如果每个参赛者都可以在比赛中自由使用最好的国际象棋引擎，那还能算是公平竞赛吗？还能算是观赏性强的比赛吗？还能证明人类智慧的下限吗？
同样的问题适用于CTF。
### 5.3 出题人的困境
CTF组织者尝试了各种技术手段来对抗LLM解题——混淆语义、提示注入陷阱、基于训练截止日期后新技术的题目等。但frays的评价是：**”这最多只是暂时的摩擦。”**
Claude Code现在不再实质性地关心旧的”拒绝字符串”技巧。前沿模型越来越擅长识别提示注入。规则禁止使用LLM的规定在公开在线赛事中基本被忽视，且几乎无法执行。
而出题人面临的双重困境是：如果出正常题目，AI解决太多；如果出故意对抗AI的题目，这些题目往往变得”猜答案”、过度工程化，对人类也不友好。
**这不是真正的解决方案，只是让CTF对所有人都变差了。**
—
## 六、”适应”不是一个答案
最常见的反驳是：**”适应就行了，CTF只是被AI增强了。”**
frays对这种观点的回应是：**”这完全是莫名其妙的，除非你解释清楚我们要适应成什么。”**
– 如果适应意味着搭建更好的工具？CTF选手已经做到了。
– 如果适应意味着写更难的题目？组织者已经尝试了。
– 如果适应意味着接受记分板现在是AI编排基准？那我们应该诚实地说出来，而不是假装旧的竞赛仍然存在。
即使组织者创造出当前LLM无法解决的更猜答案或过度工程的题目，玩家也没有好的途径在保持竞争力的同时学习所需技能。再过几个模型版本，这个点可能就无关了。
**LLM安全能力的发展速度太快，题目设计无法长期领先。**
—
## 七、行业影响：从选拔人才到重新定义技能
### 7.1 招聘逻辑需要重构
过去，安全公司在招聘时看CTF排名是一个合理的参考。但现在，这种参考价值正在急剧下降。
frays明确指出：**”通过CTF表现来招聘安全从业者正变得不那么有意义。它甚至不是衡量AI能力的好标准，因为CTF所需的编排大部分已经是开源的或可以用’感觉’写出来的。”**
企业需要重新思考如何评估安全人才——漏洞赏金记录、真实渗透测试经验、独立研究能力，可能比单纯的CTF排名更有说服力。
### 7.2 教育价值仍然存在，但形式需要改变
CTF的教育价值从未消失。frays建议初学者使用 picoGym、HackTheBox 等平台，这些平台明确以教育为目标，参与者作弊的动机较低。
安全行业的社交活动如SecTalks、学生会议和本地meetup也是保持连接和参与的好方式。Discord等平台上的学习社区同样是宝贵的资源。
**关键不是放弃CTF的教育价值，而是承认公开在线竞赛的竞技形式已经与教育初衷分离。**
—
## 八、未来：变革已经开始
### 8.1 可能的出路
社区开始讨论一些潜在的解决方案：
**双轨制比赛**：分别设置允许AI辅助和纯人类参赛的两条赛道，前者衡量AI编排效率，后者保留人类技能竞争。
**透明Token预算评分**：公布每面旗帜消耗的Token或计算量，让AI辅助的成本变得可见。
**人类专属挑战**：设计需要交互式调试、侧信道分析或物理硬件交互的题目——这些是当前纯LLM管道难以处理的领域。
**向教育平台倾斜**：将初学者引向 picoGym、HackTheBox 等以学习为核心而非排名的环境。
### 8.2 社区仍在，但需要新的载体
frays在文章结尾写道：**”尽管AI和CTF领域正在被商业化且超出我们的控制，但CTF对行业产生了巨大的积极影响。我通过CTF遇到了许多善良、聪明和充满热情的人。我玩过一些制作精美的挑战，发现了一些最有趣的意外解决方案。”**
社区的凝聚力比以往任何时候都更加重要——无论竞争走向何方，我们都需要新的方式来保持这种联系和竞争精神。
—
## 九、总结：不是”已死”，是”必须重生”
AI正在改变CTF，这是不争的事实。但”CTF已死”的表述，更准确的理解应该是：**旧形式的公开在线CTF竞技已经失去了它原本代表的意义。**
记分板不再代表人类技能，挑战不再测试真实的漏洞理解，初学者失去了通过努力获得可见进步的路径。这些变化是结构性的，不会因为出题人的努力或社区的良好意愿而逆转。
但这并不意味着整个CTF生态应该消亡。CTF的教育价值、社交价值和技术传播价值仍然存在。只是行业需要诚实地面对变革，要么为公开在线赛事找到新的竞技框架，要么将重点转向真正以学习为核心的平台和社区。
**旧的CTF已经结束。新的形式正在等待被构建。**
**版权声明**：本文由华盟网原创发布，保留所有权利。配图由华盟网授权使用。
暂无评论内容