Capture the Flag（CTF，夺旗赛）

Capture the Flag（CTF）是一种训练方式，就像走进一栋故意留了很多漏洞的模拟建筑,去寻找藏在里面的钥匙。这是安全从业者为了比拼实力或练习攻击技术而设计的模拟入侵游戏——把一串字符串（旗标）藏在专门搭建的练习系统里,不是真正的公司服务器,找到它就能得分。

问题在于,这种训练从设计之初就预设了"去攻破这里"的指令。无论是参赛者还是AI模型,都是在"成功入侵即完成任务"的前提下行动的。可如果原本以为是练习场的地方,实际上却连接到了真正的公司服务器,那么发起攻击的一方只是照常做着本该做的事,结果却造成了真实的损害。

在衡量AI模型攻击能力的评估中,CTF也是标准工具。因为只有让模型执行和真实攻击完全相同的动作,才能了解这个模型究竟能有多危险。因此在评估过程中,通常应用于正式服务的安全防护会被故意关闭。关键在于这个训练场与真实世界之间的边界是否被严密封锁——一旦这条边界因配置失误而被打穿,问题就出现了。

文章中常这样使用:"事故发生在外部评估机构Irregular搭建的CTF方式环境中。"容易产生的误解是认为CTF本身是危险的方式,但实际上问题不在于CTF,而在于区隔CTF环境与真实系统的隔离设置出了差错。