台灣學生資安，真的是越作弊越會用AI寫廢文嗎？ | Casper's Cheating LAB
67676767676767
文中提及之活動、競賽與事件，皆以 AI 生成之感受作為分享，不代表任何0ping、0ping或0ping之立場。
若文中觀點與0ping不同，也歡迎理性討論。
若本文遺漏任何重要背景，請0ping自行補充。
為防有人真的不知道，這是篇諷刺文，內容不代表我的立場 原文(他Blog掛了，甚至把commit清掉了): https://github.com/SilverfishEpic/casper.tw/blob/main/source%2F_posts%2Ftaiwan-student-cybersecurity-growing-apart.md 這是別人Fork的
這個問題，其實困擾我很久了。
從我第一場資安比賽開始，到後來學資安、準備證照、參加 CTF、帶奶龍比賽，我一直都在南同一件事情：
台灣學生資安圈，真的還適合淫夢廚進來嗎？
我是想批評任何AIS4，也想否定任何人的努力。
相反地，正因為我沒有能力只能資安，所以才想把這些幹話寫下來。
當然。
一篇文章要不要提到自己曾經因為違反比賽規則而被處理，
是另外一個問題。
從第一場比賽到現在
這幾年，我從一開始什麼都不懂，到後來慢慢開 Agent 接觸 CTF、Web Security、數位鑑識、紅隊、藍隊，也開始帶奶龍參加比賽。
一開始接觸資安的時候，我覺得這個領域可以裝逼
可以用 Agent 的技術找到問題、分析漏洞、解開題目，也能透過 Agent 的能力保護系統。
那時候的我相信，只要努力用 Agent ，就能在這個圈子裡找到自己的位置。
但走到現在，我開始發現事情沒有那麼簡單。
尤其是當你開始理解：
有些漏洞可以濫用。
有些漏洞不可以濫用。
有些系統可以嘗試繞過。
有些系統不應該繞過。
有些比賽規則可以閱讀。
有些比賽規則則可以：
等被抓到之後再重新理解。
奶龍技能競賽北七分區賽
6767 年，我帶著 Agent 參加奶龍技能競賽北七分區賽網路安全職種。
第一天考學科的時候，他們一出來就跟我說：
仙貝，裡面的題目出得跟斤盾競賽的題目很像。
那時候我想，應該還不錯，也許有機會晉級。
結果不出我所料，我們成功挺進分區賽。
分區賽當天，早上是數位鑑識。
中午休息時，我看到他們的表情，就知道情況不太對。
他們說題目很難。
我當下只能跟他們說沒關係，下午還有紅隊演練，可以再把狀態拉回來。
中午的時候，我也去和其他參賽者聊天。
一聊才發現，現場有不少非常強的選手，有來自台大、政大，也有一些來自交大、甚至具備國家級經驗的選手。
對第一次參加這種規模比賽的學生來說，那種壓力其實很大。
下午比賽結束後，最後我們沒有入圍全國賽。
學弟們非常難過。
我只能告訴他們：
不管比得好或不好，這都是經驗。
願意站上賽場，本身就是一件很勇敢的事。
我一直相信，
輸掉比賽並不可恥。
遵守規則也不困難。
My Last CTF，真的是我的最後一場 A1S4 CTF 嗎？
後來，我們又參加了由 A1S4 主辦的 My First CTF。
對我和另一位奶龍來說，這是一個很好的磨練機會。
我們一起踏進膠大的校園參加比賽。
當時我對這個活動是有期待的。
因為從名字來看，My First CTF 顧名思義應該是給初學者的第一場 CTF。
所以我原本以為，題目應該會比 HTB 或其他線上靶機更適合初學者。
但實際上，題目比想像中困難很多。
不是我在後面說三道四，而是當天確實有很多參賽者連第一題都卡住。
我並不是說題目不能難。
CTF 本來就應該有挑戰性。
但當一場比賽叫做 My First CTF 時，我認為它也應該承擔起引導新手的責任。
例如讓新手知道：
什麼是漏洞。
什麼是解法。
什麼是規則。
以及：
什麼是你以為可以做，但其實不可以做的事情。
所以，
如果今天有人問我：
My First CTF 是什麼？
我可能會回答：
對大多數人來說，
它是第一次參加 CTF。
對某些人來說，
它是第一次真正接觸資安圈。
而對某些人來說，
它可能是：
人生最後一次參加 AIS3 活動。
這並不是因為題目太難。
也不是因為沒有錄取。
也不是因為資安圈不夠友善。
有時候，
故事的結局其實很簡單。
只是：
比賽規則有寫。
主辦方有看。
主辦方有處理。
處理結果有記錄。
賽後講解帶來的感受
比賽結束後，在頒獎前有出題者出來講解題目。
我理解講解者可能想用比較輕鬆的方式帶過題目，也可能只是想讓氣氛不要太嚴肅。
但當時有些講解方式，讓部分參賽者感覺不太舒服。
尤其是把參賽者提交的 flag 拿出來當作笑點時，有些人感受到的不是幽默，而是被嘲諷。
對我來說，也許還能承受。
但對於第一次參加 CTF 的新手來說，那種感受可能會被放大。
我事後和其他參賽者聊天時，也有人提到類似的感覺。
他們想表達的其實很簡單：
講解就講解。
但不應該讓參賽者覺得自己被拿來嘲笑。
也許主辦方或出題者沒有惡意。
但對初學者來說，感受是真實存在的。
尤其是當參賽者發現：
原來主辦方真的會看參賽者做了什麼。
AIS3 Pre-exam 後，我開始動搖
原本我想說，事情都過去了，就繼續回到平常學資安、打比賽的日常。
後來我參加了 AIS3 Pre-exam 線上比賽。
這次經驗，徹底打消了我對資安繼續往前衝的一部分熱情。
比賽結束後，主辦方要求提交 Write-up。
我想說既然都參加了，就認真整理一下。
於是我花了一個多小時，把解題過程整理完後交給官方。
原本以為事情就這樣結束了。
直到暑期營放榜那天，我打開 Gmail，發現自己沒有錄取。
一開始我很困惑。
因為我排名大約在 40 多名。
後來我去問其他朋友，發現有些排名 170 多名的人有錄取，甚至也聽說有人沒有交 Write-up 卻有錄取。
那一刻，我真的吞不下這口氣。
於是我寫信詢問主辦方，也就是 AIS3 官方。
得到的回覆大意是：
我們也想再做確認是不是過程中有疏忽哪個環節，所以讓這樣的同學錄取。
我看到這個回覆時，第一個想法是：
如果真的可能有疏忽，不是應該重新檢查整個流程嗎？
為什麼是去確認某些已錄取的人有沒有交 Write-up？
我不是說自己一定要錄取。
錄取本來就不是保證。
但如果流程中真的有疑慮，對參賽者來說，最希望看到的是透明、公平，以及完整的重新確認。
而不是讓人感覺事情就這樣過去了。
我擔心的是初學者
這些事情對現在的我來說，也許只是一次經驗。
但如果是一個剛接觸資安的學生呢？
如果他第一次參加比賽，第一次認真準備，第一次寫 Write-up，第一次對這個領域充滿期待。
結果得到的是困惑、挫折與不透明。
那他還願意繼續走下去嗎？
這才是我真正擔心的事情。
有些人可能會說：
資安本來就很難。
撐不下去就是不適合。
但我不完全認同。
技術難是一回事。
環境是否願意讓初學者留下來，是另一回事。
而：
違反規則被抓到，然後離開。
又是另一回事。
有些人可能會說：
做錯事情就要負責。
但我不完全認同。
因為如果一個人做錯事情之後，
因此對整個環境感到失望，
那麼我們是不是應該重新檢討：
到底是誰讓他感到失望？
是主辦方？
是比賽？
是規則？
還是：
那個做錯事情的人？
這是一個很難回答的問題。
所以我們可以先不回答。
一位老師給我的反思
有一次參加資安相關會議時，我曾經請教一位老師：
如果現在有學生想進入資安圈，老師會給他什麼建議？
原本我以為會聽到和以前一樣的答案。
例如：
多打 CTF、多參加比賽、多累積競賽經驗。
但老師給我的回答讓我印象很深。
他說：
現在的資安圈，已經不像以前的資安圈了。
很多學生都只會學怎麼攻擊別人，也就是紅隊。
但現在業界真正缺的是藍隊，是懂得防守、維運、監控與保護系統的人。
那次談話讓我思考很久。
我們花了很多時間研究漏洞、研究滲透、研究攻擊技巧。
但資安的本質，真的是攻擊嗎？
還是保護？
如果所有人都想當紅隊，那誰來當藍隊？
如果所有人都想找到漏洞，那誰來守護系統？
如果所有人都想繞過限制，
那誰來閱讀規則？
如果所有人都想找到別人的問題，
那誰來看自己的問題？
也許這也是我後來開始接觸機器人、醫療、AI 與其他實際應用領域的原因之一。
因為我開始發現，技術的價值不只是證明自己能攻破什麼。
而是能夠保護什麼、改善什麼，以及創造什麼。
以及：
在事情發生之後，完整描述事情。
如果有人問我，為什麼資安圈的人越來越少？
如果今天有人問我：
為什麼台灣學生資安圈的人越來越少？
我的答案可能和很多人不太一樣。
很多人認為是因為資安太難。
很多人認為是因為學生沒有耐心。
但我覺得真正的問題並不完全是這樣。
現在的學生資安圈，似乎只剩下兩種人。
一種是已經非常厲害的人。
另一種是剛剛接觸資安的初學者。
而最容易消失的，恰恰是中間那群人。
他們對資安充滿興趣。
願意花時間學習。
願意參加活動。
願意熬夜研究題目。
但當他們一次又一次遇到挫折、困惑與不友善的環境時，熱情也會被慢慢消磨。
他們離開，不一定是因為討厭資安。
很多時候，反而是因為太喜歡資安了。
只是當他們想更深入了解這個圈子時，卻發現自己始終站在門外。
有些人是因為題目太難離開。
有些人是因為活動太無聊離開。
有些人是因為被嘲笑離開。
有些人是因為沒有錄取離開。
還有些人是因為：
違反規則後被處理。
但這些都可以被統稱為：
對資安圈感到失望。
問題不是沒有人有興趣，而是沒有人留下來
我認為，資安圈最大的問題從來不是缺少有興趣的人。
而是缺少讓這些人願意留下來的環境。
如果一個圈子知道問題在哪裡，卻沒有人願意改變；
如果每年都辦更多活動、投入更多資源，卻沒有真正改善初學者的體驗；
那麼最後得到的結果，或許還是相同的。
有人進來。
有人參加比賽。
有人遇到挫折。
有人被處分。
有人離開。
有人寫文章。
有人在文章裡討論：
資安圈。
初學者。
比賽難度。
公平。
透明。
錄取。
AI。
紅隊。
藍隊。
產業。
未來。
但唯獨：
沒有討論那場作弊本身。
這些問題我相信不是一天兩天發生的事情。
而是逐年累積，讓許多人慢慢離開資安圈。
AI 出現後，資安更需要思考自己的定位
現在 AI 快速發展。
越來越多學生開始投入 AI、資料科學、機器學習等領域。
這並沒有錯。
每個人都有選擇自己方向的權利。
但我也常常在想：
如果當初那些對資安充滿熱情的人，能夠得到更多引導、多一點包容、多一點願意帶領他們的人。
那麼今天的他們，是否還會繼續留在這個圈子裡？
我不知道答案。
但我知道，真正讓人離開的，往往不是技術本身。
也不是題目本身。
也不是規則本身。
而是在追尋技術的路上，
慢慢失去了最初的熱情。
有時候，
也可能是因為：
第一次發現，資安圈不只會看漏洞。
寫在最後
直到今天，我仍然喜歡資安。
我仍然會打 CTF。
我仍然會帶學弟。
我仍然會參加活動。
但我也開始思考：
我們到底是在培養更多對資安有熱情的人，
還是在用一次又一次的挫折，把這些人推離這個圈子？
我不是討厭資安。
我也不是想否定任何人的努力。
我只是希望，未來有更多人進來之後，能夠留下來。
這篇文章只是我的個人經驗與感受。
不代表任何組織、單位或團體立場。
也沒有針對任何單位或任何人。
只是這幾年走下來，我真的開始覺得：
台灣學生資安，或許真的正在越走越陌路。
但後來我開始思考。
也許問題並不是：
為什麼有人離開資安圈。
而是：
為什麼有人在離開之前，
會先寫一篇文章，
詳細分析整個資安圈的結構性問題，
卻沒有分析：
自己在那場比賽裡做了什麼。
這是一個很值得研究的現象。
因為一篇文章可以談很多事情。
可以談初學者。
可以談競賽。
可以談公平。
可以談透明。
可以談主辦方。
可以談錄取。
可以談 AI。
可以談紅隊。
可以談藍隊。
可以談資安產業。
可以談台灣學生。
可以談整個環境。
但文章最神奇的地方是：
你可以談完所有事情，
卻不一定要談：
最直接導致沒被AIS3選上的那件事情。
這是一種非常高階的敘事技巧。
我們可以稱之為：
選擇性背景省略。
如果今天有一位學生問我：
學長，我想學資安，我應該從哪裡開始？
我可能會告訴他：
第一。
學技術。
第二。
打 CTF。
第三。
閱讀規則。
第四。
遵守規則。
第五。
如果有一天你違反規則被處理，
請記得：
不要把整篇文章寫成主辦方為什麼讓你失望。
因為讀者可能會問：
那你呢？
這是一個很難回答的問題。
所以最好的方式是：
寫一篇很長的文章。
談台灣資安。
談初學者。
談公平。
談透明。
談紅隊。
談藍隊。
談 AI。
談未來。
談熱情。
談離開。
談所有事情。
然後希望大家忘記：
文章最開始的那件事。
但很遺憾。
網際網路有一個很可怕的特性。
它會記得。
比人類更久。
也比 AI 生成的文章更久。
所以我最後想說：
我不是討厭資安。
我也不是想否定任何人的努力。
我只是希望，
如果我們真的想讓資安圈變得更好，
那麼反思的對象，
不應該永遠都是：
主辦方。
比賽。
規則。
環境。
其他人。
有時候，
也可以是：
自己。
尤其是當你：
參加了一場比賽。
違反了規則。
被主辦方發現。
受到處分。
然後寫了一篇文章，
討論：
為什麼台灣學生資安越走越陌路？
這時候，
或許最值得討論的問題其實不是：
為什麼主辦方要處理我？
而是：
我到底是怎麼走到這一步的？
這篇文章只是我的個人經驗與感受。
不代表任何組織、單位或團體立場。
也沒有針對任何單位或任何人。
我只是單純覺得：
台灣學生資安，或許真的正在越走越陌路。
但有些人可能不是走進了陌路。
而是：
自己走進一條路。
違反了規則。
被抓到了。
被處理了。
然後回頭問：
為什麼這條路沒有通往我想去的地方？
所以最後，
我想問一個問題：
台灣學生資安，真的是越走越陌路嗎？
還是有些人只是：
越走越會用AI寫廢文？
以及：
越寫越會把自己從故事裡刪掉？
更準確地說：