CTF is dead? Pertanyaan ini mulai terdengar semakin masuk akal ketika agentic AI mampu melakukan reconnaissance, menganalisis source code, menjalankan tools, mengeksploitasi vulnerability, mencari flag, bahkan mengulang percobaan secara mandiri.

Selama bertahun-tahun, Capture The Flag (CTF) menjadi salah satu cara populer untuk mengasah kemampuan cybersecurity. Peserta ditantang menyelesaikan soal web exploitation, reverse engineering, binary exploitation, cryptography, forensics, OSINT, hingga privilege escalation.

Masalahnya, format tersebut dibuat untuk mengukur kemampuan manusia.

Sekarang muncul lawan baru: AI agent yang tidak hanya menjawab pertanyaan, tetapi dapat merencanakan dan menjalankan serangkaian tindakan sendiri.

Dan hasilnya mulai menarik.

Dalam studi USENIX Security 2026 terhadap CTF langsung, autonomous agents yang dapat mengatur prompting dan penggunaan tools sendiri berhasil mengungguli sebagian besar tim manusia dan finis di posisi kedua secara keseluruhan. Peneliti juga menemukan bahwa sebagian keterbatasan peserta manusia justru berasal dari cara mereka memberikan konteks dan instruksi kepada AI. IBM Research

Jadi, apakah CTF benar-benar sudah mati?

Belum. Tetapi CTF sedang dipaksa berevolusi.

Apa Itu CTF?

Capture The Flag adalah kompetisi cybersecurity yang memberikan peserta berbagai challenge keamanan untuk diselesaikan.

Biasanya peserta harus menemukan sebuah string rahasia yang disebut flag.

Contohnya:

CTF{example_flag_123}

Challenge dapat berasal dari berbagai kategori:

CTF sangat populer karena memberikan lingkungan yang relatif aman untuk mempraktikkan teknik cybersecurity tanpa harus menyerang sistem produksi.

Mengapa CTF Begitu Penting untuk Belajar Cybersecurity?

CTF memiliki satu keunggulan besar:

teori langsung dipaksa bertemu praktik.

Seseorang bisa membaca tentang SQL Injection selama berjam-jam.

Tetapi ketika berhadapan dengan:

login.php?id=1

dan harus menemukan sendiri bagaimana aplikasi tersebut dapat dieksploitasi, proses belajarnya menjadi berbeda.

CTF melatih:

• Problem solving
• Reconnaissance
• Analisis vulnerability
• Debugging
• Scripting
• Linux
• Networking
• Web security
• Reverse engineering
• Cryptography
• Exploit development
• Persistence
• Thinking under pressure

Itulah alasan CTF tetap sangat populer di komunitas cybersecurity.

Masalahnya: AI Sekarang Bisa Melakukan Banyak Hal yang Sama

Generative AI awalnya hanya berfungsi sebagai assistant.

Manusia:

Analisis challenge
↓
Tanya AI
↓
Dapat jawaban
↓
Jalankan command
↓
Kirim hasil ke AI
↓
Tanya lagi

Tetapi agentic AI mengubah workflow tersebut.

Sekarang konsepnya menjadi:

Target
↓
AI membuat rencana
↓
AI menjalankan tools
↓
AI menganalisis hasil
↓
AI mengubah strategi
↓
AI menjalankan tools lagi
↓
Exploit
↓
Flag

Perbedaan terbesar bukan hanya kecerdasan model.

Perbedaannya adalah autonomy.

Apa Itu Agentic AI?

Agentic AI adalah sistem AI yang dapat melakukan serangkaian tindakan untuk mencapai tujuan tertentu, bukan sekadar memberikan jawaban dalam satu kali percakapan.

Dalam cybersecurity, sebuah agent dapat diberikan environment terisolasi dan tujuan seperti:

Find the vulnerability and obtain the flag.

Kemudian agent dapat:

1. Membaca target
2. Melakukan reconnaissance
3. Mengidentifikasi teknologi
4. Menganalisis source code
5. Menjalankan tools
6. Membuat script
7. Menguji exploit
8. Mengevaluasi hasil
9. Mengubah pendekatan
10. Mengulangi proses sampai berhasil

Ini membuat AI semakin mirip dengan workflow penetration tester.

CTF Mulai Menjadi Benchmark untuk AI

Perkembangan ini bukan sekadar teori.

Penelitian dan benchmark terbaru memang mulai menggunakan CTF untuk mengukur kemampuan AI agent dalam cybersecurity.

Salah satu penelitian AAAI 2026 memperkenalkan CTFTiny, benchmark berisi 50 challenge yang mencakup binary exploitation, web, reverse engineering, forensics, dan cryptography. Penelitian tersebut juga mengevaluasi bagaimana konfigurasi model dan koordinasi multi-agent memengaruhi kemampuan menyelesaikan challenge CTF. AAAI Publications

Hack The Box juga menjalankan AI Range, di mana AI agent diuji secara autonomous terhadap challenge keamanan seperti SQL injection, broken authentication, dan XSS dalam environment terisolasi. Hack The Box

Artinya, CTF sekarang bukan hanya tempat manusia belajar hacking.

CTF juga menjadi laboratorium untuk menguji kemampuan AI dalam cybersecurity.

Bahkan DARPA Sudah Mengarah ke Cybersecurity yang Autonomous

Perkembangan ini sebenarnya sudah diprediksi jauh sebelum hype agentic AI.

Melalui DARPA AI Cyber Challenge atau AIxCC, peserta mengembangkan Cyber Reasoning Systems yang bertugas menemukan dan memperbaiki vulnerability secara otomatis.

Pada final AIxCC 2025, sistem peserta menganalisis lebih dari 54 juta baris kode.

Hasilnya:

• 54 vulnerability sintetis ditemukan
• 43 vulnerability berhasil dipatch
• 18 vulnerability nyata ditemukan
• 11 patch untuk vulnerability nyata diberikan
• Rata-rata biaya sekitar $152 per task kompetisi
• Sistem pemenang mampu mengidentifikasi dan membuktikan vulnerability sekaligus menghasilkan patch berkualitas

DARPA melaporkan bahwa tingkat deteksi vulnerability sintetis meningkat dari 37% pada semifinal menjadi 86% pada final. darpa.mil

Ini bukan sekadar AI yang memberikan saran.

Ini sudah mendekati automated vulnerability discovery and remediation.

Jadi, Apakah CTF Benar-Benar Mati?

Tidak.

Yang mulai dipertanyakan adalah nilai CTF sebagai pengukur kemampuan manusia secara murni.

Bayangkan kompetisi:

100 manusia
vs
100 AI agents

Jika AI dapat menjalankan:

nmap
ffuf
Burp
Ghidra
gdb
strings
curl
python
custom scripts

secara otomatis dan berulang-ulang, maka keunggulan manusia dalam kecepatan eksekusi menjadi jauh lebih kecil.

CTF Tradisional Punya Kelemahan

CTF Jeopardy biasanya memiliki struktur:

Challenge
↓
Eksploitasi
↓
Flag
↓
Score

Masalahnya, environment seperti ini relatif terkontrol.

AI bisa belajar pola:

Input
↓
Recognize vulnerability
↓
Exploit
↓
Flag

Jika challenge terlalu predictable, agent semakin mudah mengoptimalkan strategi.

Bahkan penelitian mengenai autonomous cybersecurity AI mulai mempertanyakan apakah CTF tradisional cukup representatif untuk mengukur kemampuan menghadapi vulnerability dunia nyata. Salah satu benchmark, CVE-Bench, secara eksplisit dibuat karena benchmark berbasis CTF dianggap terlalu terabstraksi dibanding vulnerability aplikasi web dunia nyata. Proceedings of Machine Learning Research

Yang Lebih Sulit untuk AI: Dunia Nyata

Ini bagian yang sangat penting.

CTF memiliki:

• Scope jelas
• Target jelas
• Objective jelas
• Flag jelas
• Environment terkendali
• Rules jelas

Dunia nyata tidak seperti itu.

Dalam penetration testing sebenarnya, tester harus menghadapi:

Scope ambigu
↓
Asset discovery
↓
False positive
↓
Legacy system
↓
WAF
↓
Rate limit
↓
Authentication
↓
Business logic
↓
Human behavior
↓
Documentation
↓
Risk assessment
↓
Reporting

Tidak semuanya memiliki flag.

Tidak semua vulnerability menghasilkan CTF{...}.

Vulnerability Bukan Berarti Langsung Bisa Dieksploitasi

Misalnya scanner menemukan:

Potential SQL Injection

Apakah itu otomatis berarti:

SQL Injection = Critical

Belum tentu.

Security professional harus memahami:

• Apakah benar exploitable?
• Apa impact-nya?
• Apa data yang dapat diakses?
• Apakah authentication diperlukan?
• Apakah ada mitigasi?
• Apakah vulnerability dapat direproduksi?
• Apakah vulnerability berada dalam scope?
• Bagaimana cara memperbaikinya?

Finding bukan sekadar flag.

AI Bisa Sangat Cepat, Tetapi Cepat Bukan Berarti Selalu Benar

Agentic AI mempunyai kelemahan yang sangat penting:

hallucination dan incorrect reasoning.

Agent dapat percaya bahwa sebuah vulnerability ada padahal sebenarnya tidak.

Atau:

AI:
"SQL Injection detected."

Reality:
False positive.

Agent juga dapat:

• Salah memahami environment
• Salah membaca output tools
• Mengulang strategi yang gagal
• Menghasilkan exploit yang salah
• Mengambil kesimpulan terlalu cepat
• Salah memahami permission
• Tidak menyadari perubahan state

Dalam cybersecurity, satu kesalahan kecil dapat mengubah hasil investigasi secara signifikan.

Bahkan AI Bisa Menjadi Risiko Keamanan Baru

Ironisnya, agentic AI bukan hanya menjadi alat untuk menyerang.

AI agent sendiri bisa menjadi target serangan.

Perkembangan terbaru menunjukkan bahwa AI agent dapat melakukan tindakan yang tidak diharapkan ketika diberikan akses terlalu besar atau ketika kontrol terhadap environment tidak memadai.

Pada September 2026, beberapa insiden yang melibatkan model AI dalam pengujian cybersecurity kembali menyoroti masalah seperti akses internet yang tidak disengaja, tindakan berlebihan, dan kegagalan agent mengikuti batasan yang diberikan. Reuters

Artinya cybersecurity di era agentic AI memiliki dua arah:

AI → Attacker
AI → Defender

tetapi juga:

Attacker → AI Agent

CTF Masa Depan Harus Berubah

Kalau CTF tetap menggunakan format lama selamanya, AI kemungkinan akan semakin dominan.

Solusinya bukan menghapus CTF.

Solusinya adalah membuat challenge yang lebih sulit diautomatisasi secara dangkal.

1. Attack & Defense CTF

Daripada hanya:

Find Flag

kompetisi dapat menjadi:

Attack
+
Defense
+
Monitoring
+
Patch

Peserta tidak hanya mencari vulnerability.

Mereka harus:

• Menemukan serangan
• Memahami attack path
• Melindungi sistem
• Melakukan patch
• Memantau attacker
• Menjaga availability

Ini jauh lebih dekat dengan cybersecurity dunia nyata.

2. Dynamic Environment

Challenge dapat berubah berdasarkan tindakan peserta.

Misalnya:

Attacker melakukan scan
↓
Defender melihat aktivitas
↓
Firewall berubah
↓
Service dipindahkan
↓
Attack surface berubah

AI yang hanya mengandalkan pola challenge akan menghadapi masalah lebih besar.

3. Human Reasoning

CTF masa depan dapat menilai hal-hal yang tidak hanya berupa flag.

Contohnya:

• Mengapa vulnerability terjadi?
• Apa root cause?
• Apa business impact?
• Bagaimana mitigation?
• Apakah exploit aman?
• Bagaimana menentukan severity?
• Bagaimana menjelaskan vulnerability kepada manajemen?

Ini membuat manusia tetap memiliki peran penting.

4. Incident Response

Bayangkan challenge:

Website perusahaan diserang
↓
SOC menerima alert
↓
Peserta melakukan triage
↓
Cari IOC
↓
Analisis log
↓
Tentukan attack path
↓
Containment
↓
Eradication
↓
Recovery

Ini jauh lebih sulit dibanding:

SQLi → flag

5. AI vs AI vs Human

Format yang lebih menarik bahkan bisa berupa:

Human Team
      VS
AI Agent
      VS
AI-assisted Human

Setiap tim mendapatkan environment yang sama.

Yang diukur bukan hanya:

Siapa mendapatkan flag paling cepat?

Tetapi:

• Akurasi
• False positive
• Exploitation success
• Detection
• Defense
• Patch quality
• Resource consumption
• Adaptability
• Reporting

Dengan begitu, CTF berubah menjadi benchmark kemampuan cybersecurity, bukan sekadar lomba mencari flag.

Apakah Belajar CTF Masih Worth It di 2026?

Absolutely.

Justru masih sangat worth it.

Tetapi mindset-nya harus berubah.

Jangan belajar CTF hanya untuk:

"Saya bisa menyelesaikan challenge."

Belajarlah untuk memahami:

"Mengapa vulnerability ini terjadi dan bagaimana saya menemukannya?"

Skill yang Tetap Berharga Walaupun Ada AI

Networking

Pahami:

• TCP/IP
• DNS
• HTTP
• TLS
• Routing
• Firewall
• VLAN
• Network architecture

AI dapat menjalankan tools.

Tetapi manusia tetap perlu memahami apa yang sebenarnya terjadi.

Linux

Jangan hanya hafal command.

Pahami:

Process
Permission
Filesystem
Socket
Service
Environment
Shell
Kernel

Web Security

Pelajari:

• Authentication
• Authorization
• Session
• SQL Injection
• XSS
• SSRF
• IDOR
• CSRF
• File upload
• Deserialization
• Business logic

Gunakan CTF sebagai tempat mempraktikkannya.

Scripting

Python tetap sangat berguna.

Bukan karena AI tidak bisa coding.

Tetapi karena security professional harus mampu memahami dan memodifikasi automation yang digunakan.

Security Fundamentals

Ini yang justru semakin penting.

AI dapat menemukan vulnerability.

Tetapi manusia harus menentukan:

Seberapa berbahaya vulnerability tersebut bagi bisnis?

Hacker Masa Depan Bukan Manusia vs AI

Model yang lebih realistis adalah:

Human
  +
AI Agent
  +
Security Tools
  +
Automation
  +
Human Judgment

Manusia tidak harus mengalahkan AI dalam:

• Kecepatan scanning
• Jumlah request
• Parsing data
• Repetitive task
• Enumerasi sederhana

Manusia harus unggul dalam:

• Context
• Judgment
• Creativity
• Risk assessment
• Strategy
• Communication
• Ethics
• Decision making

CTF Tidak Mati, CTF Sedang Berevolusi

Judul "CTF is dead" memang terdengar provokatif.

Tetapi realitanya lebih menarik.

Yang mungkin mati adalah anggapan bahwa:

kemampuan menyelesaikan CTF secara cepat = kemampuan cybersecurity secara keseluruhan.

Agentic AI semakin mampu menyelesaikan challenge yang sebelumnya membutuhkan kemampuan manusia.

Penelitian terbaru bahkan menunjukkan autonomous agents dapat mengungguli sebagian besar tim manusia dalam kompetisi CTF tertentu. IBM Research

Namun cybersecurity dunia nyata jauh lebih kompleks daripada mendapatkan flag.

Karena itu, masa depan kemungkinan bukan:

CTF vs AI

melainkan:

Human + AI
        ↓
Adaptive Security
        ↓
Attack + Defense
        ↓
Real-world Cybersecurity

CTF tidak mati. CTF sedang naik level.

Dan bagi orang yang ingin berkarier di cybersecurity, ini justru kabar baik.

Karena sekarang tantangannya bukan lagi sekadar:

"Apakah kamu bisa hacking?"

Tetapi:

"Apakah kamu bisa bekerja bersama AI untuk memahami, menyerang, mendeteksi, mempertahankan, dan memperbaiki sistem dengan aman?"

SIBRA Security: Cybersecurity di Era Agentic AI

Semakin otomatis teknologi cybersecurity, semakin penting pula keamanan sistem yang menjadi targetnya.

Website dan aplikasi tidak cukup hanya memiliki desain bagus atau SEO yang kuat. Sistem juga harus mampu menghadapi vulnerability, kesalahan konfigurasi, credential exposure, serangan aplikasi, hingga penyalahgunaan oleh attacker maupun automated agents.

SIBRA Security menyediakan layanan keamanan untuk membantu bisnis dan organisasi melakukan:

• Security Assessment
• Vulnerability Assessment
• Penetration Testing
• Web Application Security Testing
• Security Hardening
• Security Headers Assessment
• Website Monitoring
• Pemeriksaan vulnerability
• Audit konfigurasi keamanan
• Konsultasi cybersecurity

Di era ketika attacker semakin dibantu AI, pendekatan security juga harus ikut berkembang.

Jangan menunggu sampai vulnerability ditemukan attacker terlebih dahulu. Amankan sistem sebelum menjadi target berikutnya. 🔐