Всё о CTF в России

Обзор финала CTFZone 2026 — возвращение офлайн-CTF

19 августа в Москве BI.ZONE провёл очный CTFZone 2026. Впервые за долгое время 10 команд собрались в одном зале, чтобы за 8 часов решить 18 заданий в пяти категориях без доступа к интернету, LLM и помощи извне. Победителями стали C4T BuT S4D, второе место — Bushwhackers, третье — Drovosec. Призовой фонд составил 500 000 рублей, и топ‑3 получили проходки на OFFZONE 2026.

– Финал тремя словами?

«Назад в 2023», — Кирилл Павлов, участник команды C4T BuT S4D.

За призовой фонд в этом году боролись 10 команд:

• C4T BuT S4D,
• Drovosec,
• cR4.sh,
• SIGAN,
• maximxls fan club,
• Bushwhackers,
• The power of Elijah,
• LCDsos,
• Pudge Fun Club,
• Capybaras.

Назад в будущее

Главным нововведением этого года стал полный запрет интернета для участников. На площадке использовалась система подавления радиоволн, чтобы исключить возможность выхода в сеть через мобильные устройства. Помимо этого, под запретом оказались любые личные электронные устройства, кроме собственной клавиатуры и мыши, а также большие языковые модели, ИИ‑инструменты, помощь извне и обмен флагами между командами.

Каждой команде предоставили оборудованное рабочее место с установленной Arch Linux и зеркалом репозиториев для самостоятельной установки ПО. Разрешалось приносить любые бумажные источники информации.

«В этом году мы намеренно изменили формат CTFZone и сделали соревнование максимально сфокусированным на собственных навыках участников. Восемь часов без интернета, LLM и внешней помощи — это возможность проверить, насколько хорошо команды умеют самостоятельно находить нестандартные решения, анализировать уязвимости и работать с ограниченными ресурсами», — Евгений Волошин, директор по стратегии BI.ZONE.

Участники в целом приняли формат, хотя поначалу отнеслись к нему скептически.

«Когда я увидел анонс, что стф будет без интернета, я решил, что мероприятие не состоится, потому что, вспоминая опыт участия до этого, 90% времени стфа — это ресерч и гуглеж. Однако после соревнований могу сказать, что такой формат может работать. Организаторы нормально (можно лучше и я уверен, что они этот опыт учтут и сделают лучше) подготовили площадку, которая позволит заполнять свои пробелы и даже делать небольшой ресерч без подключения к сети», — Никита Косянков, участник команды Drovosec.

«Было интересно, удалось вернуть 2023 на 8 часов обратно :) », — C4T BuT S4D.

Задания и категории

За 8 часов командам предстояло решить 18 заданий в категориях Web, PWN, Reverse и Crypto. Из‑за отсутствия интернета особенную сложность вызвали веб‑задачи, где часто требуется обращаться к документации или гуглить нестандартные приёмы.

– Какая категория задач оказалась самой сложной или неожиданной?

«Думаю что вебчик, где очень хотелось погуглить/почитать документацию», — Кирилл Павлов.

Другие участники отметили, что формат заставил вернуться к истокам — самостоятельному исследованию, генерации и проверке гипотез без подсказок ИИ.

«В целом ивент понравился. Он получился наиболее похожим к тому вайбу, который цтфы имели до нашествия LLM-ок. Пришлось сидеть и самому копаться в тасках, проделывать муторную работу и тестить гипотезы. За счёт этого получился лучший цтф, что я играл за последние полгода. Но не потому что он был хорош (в общем и целом цтфзона довольно среднячковая получилась), а скорее потому что все остальные были очень плохие, как раз из-за того, что из-за ИИшек нормальные цтфы умерли. В общем, ивент меня пощекотал там, где давно не щекоталось», — Алексей Тарасов, участник команды Drovosec.

Организация и инфраструктура

Как и всегда, даже самым крутым соревнованиям есть к чему стремиться, поэтому и в этот раз есть пожелания по доработке.

«Добавить нормальный поисковый движок для ресурсов, сделать всё‑таки по компу на участника, а не на команду, и можно проводить, плохо точно не будет», — Drovosec.

«Хотелось бы побольше ресурсов доступных, не хватало докер образов и pip», — C4T BuT S4D.

Глазами организаторов

Организаторы намеренно пошли на эксперимент с полным отключением интернета, чтобы проверить реальные навыки специалистов.

«Для нас CTF — это не только соревнование за первое место, но и способ увидеть, как меняются подходы специалистов к решению практических задач. Именно поэтому мы продолжаем экспериментировать с форматом и создавать условия, в которых участники могут проверить свои знания и навыки в максимально приближенной к реальным задачам среде», — Евгений Волошин.

Слово победителям

Кажется, успех команд C4T BuT S4D, Bushwhackers и Drovosec во многом определила способность быстро адаптироваться к автономной работе (но это неточно). Участники, привыкшие полагаться на собственные знания и локальные инструменты, получили преимущество.

– Какие навыки / тулзы помогают в таком формате больше всего?

«Навыки решения задач без возможности подебажить локально наиболее полезны», — C4T BuT S4D.

– Как выглядит твоя идеальная рутина подготовки перед крупным соревнованием?

«Для меня это отдохнуть и выспаться :) побольше времени провести без компа, тк на соревнованиях придется от него долго не отрываться. Добавлю еще сюда - почитать ресерчи крутых ребят, для вдохновения», — Кирилл Павлов, C4T BuT S4D.

А стоило вообще это делать?

CTFZone 2026 показал, что формат офлайн‑соревнования без интернета и ИИ имеет право на жизнь. Участники смогли погрузиться в решение задач, не отвлекаясь на внешние ресурсы, и заново ощутить дух «старых» CTF.

В то же время остались вопросы к инфраструктуре: нехватка докер‑образов, pip‑пакетов, один компьютер на команду и отсутствие удобного поиска по локальным ресурсам. Если организаторы учтут эти пожелания, следующий CTFZone может стать ещё круче.

«Насколько нужно их проводить в таком формате — другой вопрос. Это интересно, но не уверен, что полезно. Раньше игра в таком формате развивала очень важные и полезные навыки умения исследовать, генерировать и проверять гипотезы, оптимальным образом производить кучу машинальной работы для ускорения солва. Сейчас эти навыки не так важны в реальной жизни и работе, это всё умеет делать ИИ. Это не плохо, просто мир изменился, и цтфы в привычном формате от него сильно отдалились. Думаю, что я на постоянке в таком формате не смог бы играть, ровно потому что теперь это мероприятие с какими-то искусственными ограничениями, далёкое от реального мира.», — Алексей Тарасов, Drovosec.

Тем не менее, CTFZone 2026 останется в нашей памяти как смелый эксперимент, который подарил участникам редкую возможность проверить себя без подпорок современного интернета. И, кажется, многие хотели бы повторить этот опыт, пусть и с некоторыми техническими доработками.

Поздравляем победителей и всех участников! До скорых встреч :) !