刚刚过去的 DEFCON CTF Qual 26 好像引爆了 CTF 圈子的存在主义危机：我们说不清拿到一个 flag 到底是 AI 大人的功劳还是自己的功劳。做题方式的转变极大地反应在了人类选手的感受上，我们过去在 CTF 中所独有的那些体验正在被彻底重组。我不太想那么武断地下一个结论，但过去的 CTF 确实已经死了，取而代之的是一种新的竞赛；对许多过去的选手而言，这种新的竞赛已经不像曾经的 CTF 那样具有吸引力。在这样一种时间点，我想很适合写一篇小文分享一下自己的感受，毕竟这个博客站曾经的主要定位是一个 CTF writeup 分享站点（但以后估计不会有任何 writeup 了！）。

The CTF scene is dead. 这篇文章已经说了很多。就像游戏一样，参加 CTF 的过程类似一个反馈循环：我们学习知识，在比赛中验证知识，学习更多知识，取得更好的成绩……突然有一天，你发现自己在队伍中扮演了一个不可或缺的角色，你感觉到因为自己的技能而被队友们需要，你因自己的知识、技术还有比赛时那些灵光一现感到骄傲与自豪。

2026 年，不可否认的是 agent 还需要驾驶员的存在，但驾驶员的门槛比 CTF 选手低多了：与其说今天的 CTF 依然像以前那样需要凑集足够多的优秀选手，倒不如说今天的 CTF 需要的是更多的“优质 token”，并给这些 token 提供配套的人类。CTF 的主体从人类转移到了 agent，这个过程还正在不断进行之中，每个大模型公司都在招募 CTF 选手，为他们收集更多安全语料，不断提高 ai 模型的能力。未来打不过 riatre、orange 的选手们都只能做地位越来越低的驾驶员了。

主体性曾是 CTF 的关键乐趣，就像所有的角色扮演游戏一样，玩家是游戏的核心。agent 驾驶员不是游戏的核心，只是一个模型的传话员、一个模型的参谋、一个模型的提示者。驾驶 agent 是一件好玩的事情吗？是的，我每次用 tmux 起两个 claude code 一起跑就觉得 AI 真是太解放生产力了，什么想法都可以让 agent 帮我完成。但驾驶 CTF agent 是一件完全不同的事情，是一个我被 agent 牵着走的过程。我看不懂 AI 大人那些无比 fancy 的指令都在做什么，也不知道他的思路是什么，只能用 /btw 给我解释一下你现在的思路 掩饰尴尬。

好吧，既然通过 agent 打比赛争取比赛名次变得使人厌烦，那至少我仍旧可以从 CTF 里学到很多新东西不是吗？但等等，如果 agent 都已经会做这些事情，而且未来只会越来越厉害，那为什么我还要去学这些东西，难道不是把任务分发给 agent 就行了吗？

我们知道，CTF 中学到的这些东西，对实际的漏洞挖掘当然是有帮助的，但 2026 年的通用软件漏洞挖掘（尤其是 pwn2own）简直可以用惨烈来形容。漏洞挖掘因门槛的降低而变得满天飞（以及经常空中追尾），我的 fedora 一周给我弹三四次 critical update，更新到烦。Agent 通过 CTF 学到的哪些漏洞挖掘和利用技巧可不仅仅只能用来打 CTF！

好吧，还有没有安全研究的人类净土，或者说我们喜欢的那种很有意思又不会撞车，还能让发现者自我感觉良好的领域？当然！但这些领域和 CTF 本就关系不大，不是 CTF 战场的主角。CTF 已经迎来了句点。“AI handles the fun tasks you trained for and enjoy.”

任何事都有落幕的时候，曾经的 CTF 也一样。但有趣的事情永远不会消失，随着 AI 的进步我已经看到了许多以前不存在的有趣的玩法。在 22 年我第一次接触 CTF 时，****** 的前辈们已经告诉我了答案：”Hacking for fun!”。相信作为 CTF 选手退役的大家，退役的理由和当初决定打 CTF 的初衷其实都是相同的：整点有意思的东西玩～