Kisia CTF 소감

2026년 8월 9일, Kisia CTF를 나가게 되었다. 해당 CTF를 나가게 되면서 느꼈던 점들을 간단하게 정리해보려고 한다.

Kisia CTF

먼저, Kisia CTF는 Kisia(한국정보보호산업협회)에서 주관하는 CTF 대회이다. 주최측은 과학기술정보통신부이다. 대학생 및 대학원생들을 대상으로 열리는 대회이며, Jeopardy 형식으로 진행되는 CTF이다. 필자는 현재 군인 신분이지만, 군인이기 이전에 아직 졸업하지 않은 대학생이었기에, 대학생 신분으로 대회 출전이 가능했다.

대회는 해킹 공부를 같이 하고 있는 해군 SW 개발병 seungman-dev 수병님과, 대학교에서 해킹 동아리 하신 경험이 계신 해군 AI 개발병 seayurre 수병님과 함께 출전하게 되었다.

사실 이 대회는 필자에게 있어서는 조금 중요한(?) 대회였다. 이 이유는 해킹이라는 분야를 도전하기 시작한 과거로 거슬러 올라간다. 처음으로 해킹을 접한 것은 2025년 국방 화이트햇 콘테스트이다. 이 때가 2025년 10월이었을텐데, 그 때 같이 나가자는 군대 선후임들과 함께 나갔었다. 아예 처음 도전해보는 분야라, 일주일 정도 사전 학습을 혼자서 조금 하고 갔는데, 그때 문제 푸는 게 꽤나 재미있었던 것 같다. 그렇게 해킹에 처음 맛을 들이게 되었는데, 그때는 웹해킹만 공부를 했었다. 원래 웹, 앱 개발을 하던 프론트엔드 개발자여서 그런지 웹 기반 지식이 없는 게 아니라 웹 해킹이 접근성이 제일 좋고, 배우기도 쉬웠다. 물론, 군대의 사지방 환경 때문에 Dreamhack에서 켜는 가상 인스턴스는 http 기반에다가 포트도 군 사지방 기준 허용되지 않는 포트여서 중간에 프록시를 두고 문제를 풀고 하는 나름의 고충은 있었던 것 같다.

그렇게 그 때 3개월 정도 해킹 공부를 하다가, 2026년 1월 부로 사이드 프로젝트로 Anchorive 라는 새 제품을 개발 착수하기 시작하면서 해킹 공부를 하던 시간은 모두 플랫폼 개발로 변해버리게 되었다. 그렇게 5개월이 흐르고, 군 생활을 하다가 대회가 가장 많은 시기인 5~6월이 되었다. 이 때 2026 해군 창업 경진대회, AI 경진대회, 사이버 보안 경진대회가 열린다. 원래는 이 3개를 모두 참가할 예정이었으나, AI 경진대회와 사이버 보안 경진대회가 같은 날짜에 열렸다. AI 경진대회를 같이 나가자고 했던 팀이 있어서 AI 경진대회를 나가게 되었고, 사이버 보안 경진대회는 아쉽게 참가하지 못했다. 그런데, 사이버 보안 경진대회를 참가했던 해군 SW 개발병 seungman-dev 수병님이 해킹에 관심을 가지게 되면서 필자에게 혹시 해킹 공부를 같이 해볼 생각이 있는지를 물어봐주셨다. 그 시점을 기준으로 필자는 다시 해킹 공부를 진행하게 되었다. 우리들의 첫 목표는 6월 중순이었던 그 때 당시, 8월에 한국에서 열리는 Kisia CTF에 출전하는 것이었다. 이제 막 시작하는 뉴비들인지라, 본선 진출까지는 크게 기대는 없었는데, 그래도 목표는 크게 잡으면 좋으니까 그때 당시 목표는 Kisia CTF 본선 진출이었다.

그리고, 이번에 다시 해킹 공부를 시작하게 되면서, seungma-dev 수병님도 웹해킹을 하시게 되면서, 문제 푸는 영역이 비슷하다고 느꼈다. 그래서 필자는 노선을 틀었다. 정확히 이 이유 때문 만은 아니고, 원래도 시스템 해킹을 한번 해보고 싶었다. 그래서 pwnable로 노선을 변경해서 이 때부터 pwnable 공부를 조금씩 진행했다. Kisia CTF를 준비하기 위해 ctftime에서 여러 다른 international CTF들을 찾아서 출전도 꽤 했다. No hack No CTF, OmniCTF, JailCTF 등을 나가면서 CTF 실전 경험을 쌓으려 노력했다. 순전히, AI에게 아무것도 물어보지 않고, 취약점의 방향성이나 익스플로잇 방향성을 하나도 물어보지 않은 채 푼 문제는 사실 몇 개 없다. 하지만, 부족했던 내 지식들을 채우기 위해 정말 많이 노력했다. Dreamhack 계정을 구독해서 System Hacking Basics Path도 모두 수강했고, 여러 CTF에서 실전 문제들을 풀어보면서 AI에게 방향은 물어볼 수 있지만, 익스플로잇은 시키지 않은 채, 최대한 내 힘으로 풀어보려고 했다. 어느 영역이 취약한 지, 이게 취약하다면 어떤 식으로 이 취약한 곳을 파고들 수 있을 지를 최대한 내 머릿속으로 고안하고 해결하려고 시도했다. 그로 인해, 2달 사이에 정말 비약적으로 실력이 늘었다고는 할 수 있을 것 같다. 즉, Kisia CTF 라는 목표를 가지고 열심히 해서 실력이 증가했다는 자명하다는 말이다. 그래서, 조금 더 성장한 내 모습이 이번 Kisia CTF에 잘 투영되어서 좋은 결과가 있기를 바랬다. 하지만, 생각보다 Kisia CTF의 벽은 높았다.

A.I

대회가 시작한 지 30분, 처음에 동시 접속자가 많이 몰렸다. 그래서 CTF 서버가 터지게 되었는데, 그래서 주관측에서 서버를 증설하게 되었다. 그런데, 정말 놀란 사실은 서버를 증설하고도 트래픽이 몰려서인지 정말 느리게 사이트가 접속 되고, 페이지 렌더링 및 API Response가 정말 느리게 오고 그랬는데, 문제를 풀었다는 알림들이 오곤 했다. “어떻게 저렇게 문제를 빨리 풀었지?”. 심지어 서버가 증설되고는, 정말 대회가 시작된지 1시간도 되지 않아 10문제 이상 푼 팀이 등장하고, 정말 많은 팀이 엄청나게 빠른 속도로 문제들을 해결해갔다.

필자는 이때까지 대회를 진행하면서 AI에게 문제를 실제로 익스플로잇 하라고 까지 맡긴 적은 단 한 번도 없다. 필자의 실력 증진 때문이라는 이유가 가장 컸다. 이때까지 나간 모든 CTF가 순위권이 목표가 아니어서 빨리 문제를 푸는 팀에 대해 크게 생각하지 않았는데, 순위를 생각하고 이번 대회에 임했더니 다른 팀들이 너무나 빠르게 풀어버리는 이 상황이 굉장히 필자를 조급하게 만들었다. 문제를 분석하고 여러 방법으로 익스플로잇 해보고 있는데, 한 문제를 1~2시간 잡을 동안 다른 팀은 7~8문제 이상 풀고 있고, 정작 필자의 팀은 빠르게 문제를 해결해나가지 못하는 모습을 보니 조급하고 초조해지게 되었다.

대회가 시작된 지 3시간 째, 팀원들과 대회 끝나기 전까지 AI에게 의존해보는 것은 어떨까 라는 논의를 진행하게 되었다. 그렇게 AI를 써서 익스플로잇을 시켜보니, 진짜 농담이 아니라 한 문제가 빠르면 10~20분 안에 풀리고, 심지어 Agent를 여러 개로 돌릴 수 있으니 문제 풀이를 동시에 여러 개를 할 수 있었다. 필자가 이때까지 공부한 것들을 부정당하는 기분이었다. AI가 잘한다는 것은 너무 잘 알고 있었지만, 실제로 순위를 생각하게 된 시점에 정말 높은 순위를 따내기 위해서는 적극적으로 AI를 써야만한다는 사실을, 자존심 세울 게 아니라 인정하고 신문물을 받아들여야한다는 사실을 뼈저리게 느끼게 되었다.

물론, 모든 팀이 다 AI를 활용해서 문제를 빨리 풀었다는 것은 아니다. 정말 잘하는 사람들이 힘을 합쳐서 문제를 빨리 해결한 것일수도 있다. 하지만, 적어도 필자에게는 AI의 존재가 정말 압도적이었고, 그리고 필자가 보기에는 문제를 해결하는 속도가 정말 심상치 않은 팀이 굉장히 많았다. 이를 보면서, 회의감이 많이 들었다. 사람이 지식을 많이 배우지 않아도 되는 시대가 온 것인가? AI가 발전할수록, 인간은 공부해야할 지식이 더 줄어들고, 이게 편리하긴 하지만 살짝 불쾌하다는 느낌을 받았다. 오히려 AI 때문에 필자가 공부하던 보안 공부가 원래는 재밌었는데, 재미없게 변질되어버린 기분이었다.

소감

아무튼, 대회가 끝나긴 끝났다. 대회를 시작하고 2시간도 되지 않아 거의 모든 문제를 푼 팀이 등장했다. 필자는 그 때 까지 한 문제도 풀지 못했다. 필자가 가진 지식이 한없이 부족하다는 생각도 들었고, 만약 그 팀이 AI를 사용했더라면, AI의 사용이 대회의 결과 유무를 결정지을 수도 있었겠다는 생각이 들었다. 그리고 필자가 실제로 AI를 써보니 이를 써서 대회의 상위권에 랭크된 팀도 많이 있겠다라는 생각도 들었다.

이제 두 갈림길에 있는 것 같다. AI를 적극 활용해서 대회에 임할 것인가, 아니면 지금처럼 꾸준히 본인의 성장을 위해서 이를 쓰지 않고 어려운 문제 및 끝없는 공부에 도전할 것인가. 이번 대회를 통해서 느낀 것은, 정말 수상을 하고 싶은 것이라면 AI를 적극 활용하는 것이 매우 좋아보인다. 그런데, 이번에 사용해보면서 느꼈던 점은 AI를 사용해서 문제를 풀었던 경험이 그리 재미있지는 않았다. 그래서 필자는 앞으로 대회 나가는 빈도를 조금 줄이거나, 취미 및 공부의 목적으로만 대회에 임하고, 수상의 목적을 가지고 대회를 출전하지 않기로 결심했다. 곧 11월에 전역을 하는데, 막상 전역을 하고 시간적 여유가 없는 상태에서 해킹 공부를 지속할 지는 잘 모르겠다. 해킹을 알아가면서 얻는 재미는 분명히 있지만, 앞으로 필자의 커리어의 일환이 될 지는 아직도 의문인 것 같다.

AI의 엄청난 발전으로 유사한 고민들을 하는 사람들이 있을 것이다. 정말 AI가 이제는 잘 하니까, 본인이 공부하는 것이 크게 의미가 없다고 느껴지는 순간들을 겪은 사람들이 있을 것이다. 그러다보면 내가 지금 이런 공부를 하는 것이 정말 옳은 것인가? 라는 생각도 들 것이다. 필자는 이렇게 생각한다. 어느 분야를 가던지 비슷한 생각을 하게 될거고, 결국은 본인이 재밌고 좋아하는 것을 하면 된다고. 그리고 그 분야를 정말 겉핥기 식으로 하는 게 아니라, 재미있고 좋아한다면 꾸준히 아주 깊게 공부를 하는 것이 결국은 본인에게 리턴이 있을 것이라고 생각한다.

AI가 발전함에 따라 무언가를 배우기는 엄청 쉬워졌다. 지식을 얻는 것에 대한 허들이 엄청 낮아지고, 이 기회는 AI를 사용할 수 있는 모두에게 주어졌다고 봐도 무방하다. 이 사회에서는 이를 적극적으로 활용하여 자신이 배우고 싶은 것을 빠르게 배우고, 이 지식과 AI를 잘 이용하여 본인을 대체할 수 없는 사람으로 만드는 것이 중요하다고 생각한다. 이번 CTF는 어느정도 이를 잘 반영했다고 생각한다. 보안 지식을 가진 사람들이 AI까지 사용하면서 CTF에서 좋은 결과들을 냈기 때문이다. 본인이 만약 사회에서 인정받는 업계 사람이 되고 싶다면, 과감하게 AI를 활용하면서 좋은 성적을 받고, 그 대신 놓치는 지식 없이 좋은 성적을 받기를 바란다.

모두들 화이팅!