За останні роки штучний інтелект увірвався в більшість сфер нашого життя. Не є винятком і CTF змагання з кібербезпеки. Архітектори CTF-змагань Джорж Папарига, Максим Петльований і Кирило Ткачов, у колонці для AIN розповідає, як штучний інтелект впливає на ці змагання, де може допомогти, а де ставить нові виклики.
Ще у 2023 році була проведена експериментальна AI CTF — GPT-3 став окремим учасником CTF і вирішив 7/30 задач. Зокрема дві криптографічні задачі, які люди-учасники не змогли взяти за відведений час. Це було просте XOR-шифрування і базова обфускація коду.
Також на одному з публічних CTF HacktheBox (2024) команда використовувала власного бота на базі GPT-4 для реверсу Python-бінарника. AI самостійно зробив reverse engineering і згенерував working exploit швидше, ніж будь-який з учасників. Це стало предметом обговорення в HTB Discord — організатори підтвердили, що завдання порушено не було, але звернули увагу на «аномально швидкі» рішення.
Задачі з криптографії втрачають свою сутність, оскільки простий запит, наприклад в ChatGPT, розв’язує багато класичних шифрів або дає підказки до розшифрування,
які раніше вимагали глибоких знань і ручної роботи. Наразі штучний інтелект може написати простий скрипт для декодування/дешифрування інформації, і якщо раніше потрібно було мати мінімальні знання мови програмування та криптографії, то зараз це швидко робить ШІ.
Напрямки CTF змагань, на які також потенційно впливає ШІ:
- Реверс-інжиніринг (Reverse Engineering) — ШІ автоматично аналізує бінарні файли, розпізнає патерни та генерує пояснення коду, що суттєво полегшує складні завдання з реверсу. Це знижує цінність глибокого ручного аналізу.
- Форензика (Forensics) — ШІ здатен швидко аналізувати великі обсяги даних, логи чи мережевий трафік, що скорочує час на розслідування і знижує потребу в глибокому розумінні процесів.
- Steganography — ШІ автоматично виявляє приховану інформацію в зображеннях, аудіо чи відео, значно спрощуючи завдання.
- OSINT (Open Source Intelligence) — ШІ суттєво пришвидшує збір та аналіз відкритих даних, що зменшує необхідність глибокого ручного дослідження.
де необхідні нестандартні підходи, глибока аналітика та креативність.
Більшість організаторів почали впроваджувати окремі правила: AI allowed, AI banned, AI only, деякі змагання запроваджують live-моніторинг робочих місць, sandbox-оточення і навіть окремі AI detection команди.
Найближчим часом більшість гравців цього ринку — світові платформи (TryHackMe, HacktheBox та інші), організатори CTF змагань, університети і навчальні центри, розробники — зіткнуться з різким старінням навчального/змагального матеріалу та відчують необхідність в якісних челенджах, які не будуть вирішуватись через копіювання відповідей, наприклад, з ChatGPT.
У взаємодії з ШІ вже з’являються свої тренди. Наприклад, вайб-кодинг (англ. — Vibecoding) – це метод програмування, що використовує великі мовні моделі та ШІ для генерації коду на основі опису завдання природною мовою, дозволяючи навіть користувачам без знань програмування створювати програмне забезпечення. Цей термін був введений у лютому 2025 року Андрієм Карпатим, співзасновником OpenAI, який описує цей підхід як взаємодію з AI через голосові команди,
де AI генерує код на основі описів користувача.
Беззаперечним королем Вайб-кодингу є Рене Турсіосом. З 2023 року 29-річний Турсіос відвідав понад 200 хактонів з кодингу, де вигравав гроші, кредити на програмне забезпечення та інші призи. Парадокс в тому, що він власноруч не написав жодного рядка коду, оскільки все за нього робив ChatGPT.
Рене Турсіосом, фото Morgan Ellis/The StandardCTF змагання також вже охоплюються VibeCTFing, коли частина задач на змаганнях вирішується не людиною, а ШІ. Так, на нещодавніх CTF змаганнях Industrial Intrusion від TryHackMe , в яких взяли участь 5905 участників з усього світу, частина челенджів вирішувалась саме за допомогою ШІ, що викликало активну дискусію в спільноті. Таким чином втрачається головна мета CTF змагань, де перемагає не найрозумніший, а найспритніший користувач ШІ.
CTF змагання вже стали офіційним видом спорту в Україні і тому варто розвивати цей напрямок з урахуванням таких механізмів як ШІ.
Нині не так багато прикладів повноцінних CTF задач, які направлені на тестування моделей ШІ. Фактично з’являється новий напрямок — AI Security CTF,
який спрямований на тестування та виявлення вразливостей самих AI-моделей. Ці змагання перевіряють, наскільки учасники можуть експлотувати ШІ, маніпулювати результатами моделей або обходити механізми захисту.
У найближчому майбутньому також має отримати стрімкий розвиток AI Red Teaming, де в змаганнях в стилі LFX (Live-Fire Еxercise — одночасно діють команди нападу й захисту — Red vs. Blue) атакуючу функцію виконуватиме ШІ.
Враховуючи ці тенденції, майбутнє CTF-середовища неможливо уявити без інтеграції ШІ як інструменту, суперника і теми для досліджень. Штучний інтелект надає нові можливості для учасників: автоматизація рутинних дій, генерація експлойтів, швидкий аналіз коду чи мережевого трафіку — все це значно підвищує ефективність команд і змінює сам підхід до змагань. Деякі команди навіть інтегрують власних AI-асистентів, що допомагатимуть у пошуку вразливостей або в написанні експлойтів.
Проте використання ШІ породжує й етичні та технічні питання. Чи варто дозволяти застосовувати AI-інструменти під час CTF змагань? Як забезпечити чесність і рівні умови для всіх учасників? І чи не втратить CTF дух інтелектуального виклику, якщо більша частина роботи буде виконуватись машинами?
У результаті, роль штучного інтелекту в CTF — це не лише виклик для організаторів, а й потужний інструмент для трансформації кібербезпеки. Він змушує по-новому мислити про захист, атаки та навчання, формуючи новий рівень складності та майстерності у світі кіберзмагань.
Читайте також: Заробляти на кіберзахисті: як український досвід створює можливості для монетизації — колонка
