开学头两天，B站搜索"CTF"的最新40条结果里，有6条标题直译过来就是"大学不打CTF等于白读"。哔哩哔哩与此同时，2026CISCN（全国大学生信息安全竞赛）总决赛话题姗姗来迟地在8月31日才出现在知乎，164所高校的457支队伍刚会师哈工大打完作品赛决赛。微博
同一周，大一新生在囤"零基础全套教程"，大四学长在等总决赛放榜和写保研综测材料——这就是每年9月网安圈的两端。真正值钱的不是"CTF是什么"的科普，而是中间那层判断：哪些东西免费就能搞定，哪些钱花下去就是给焦虑买单，以及AI把这条路的哪一段冲垮了。
数了80条搜索结果，新手缺的从来不是资源
把这两天B站和知乎的公开搜索结果当样本数了一遍：
B站"CTF"最新发布40条：22条是教程引流型（“100集全”“保姆级”“赛前必看”），6条是FOMO焦虑型（“大学白读”“有个黑客室友”）；
B站"CTF入门"最多收藏40条：24条命中同一套模板话术——“最全最细”“X00集”“存下吧很难找全的”“少走99%弯路”；
知乎搜"网安 培训 坑"18条结果里，9条是避雷/曝光/割韭菜主题，时间集中在2026年7-8月。
结论很反直觉：开学新手的问题不是找不到资源，是资源多到分不清哪些在钓你。有个细节可以佐证"囤而不用"：那套标题里带"AI大模型+网络安全"的入门全套视频，点赞1729、收藏6178——收藏是点赞的3.6倍，典型的"资源囤积症"数据特征；而真正有人跟完的内容，赞藏比通常反过来。
更要区分的是：免费引流视频本身多数不骗人，骗的是它身后那句话术。有知乎帖写得很直白——有人是真心想学，被培训机构"自学是断头路"的话术吓住，“已经花了几千块报了班”。知乎另一篇8月底的帖子报了行情：线下面授网络安全培训普遍在2万元左右。知乎7月底那篇《曝光！避雷！黑心网络安全培训机构》和8月31日"收到不下100份学员避雷投稿"的汇总帖，吐槽点高度一致：营销洗脑、承诺高薪包就业、试听课热情转正价变脸。知乎
AI到底把CTF新手路冲垮了没有
这是2026年CTF社区吵得最凶的问题，两边都有真实样本。
看空刷题派的论据很硬。5月底一条被顶上来的知乎回答原话：“现在ctf的各种比赛几乎都是ai代理人比赛，比拼谁的ai性能更好，更会写skill……只给ai说完成并给出wp也能几乎ak几乎所有的新生赛题目。”知乎6月底一位作者真去打了个个人赛，全程人机协作：找Token泄露、多层嵌套混淆解密，模型的速度"不仅远超普通安全从业者的速度，其实也远超很多顶尖CTF选手的速度"。知乎B站8月30日甚至有人发布了自动化解题工具，宣传语直接就是"一键秒掉基础pwn赛题"。哔哩哔哩
但把结论直接推到"所以别学了"，证据链就断了——连上面那位5月底答主自己都说，AI能平推的只是新生赛，“只有很困难的题才需要人的经验”。知乎保研端8月26日的高赞回答给的排序更冷酷：绩点和科研排前面，竞赛"除了那几个含金量高的比赛的国奖，其他的意义不大"。知乎翻译一下：AI拉低的是"AK新生赛"的门槛，但学校加综测、企业筛人看的是国奖和现场对抗的核验能力——你用AIAK了线上题，你的简历没有AK。
所以给开学季新手的判断是：AI该用，但用法定错了方向就白花一年。把它当导师（讲WP、解释混淆特征、带你读题解）而不是代打；把省下来的刷题时间换成两件AI替代不了的事——线下赛和AWD对抗局，那里没有网络给你问模型。
一张0元起步清单：钱该花在哪、不该花在哪
不用花钱的部分（全部来自这两天搜索里真实存在的入口）：
方向认知先补——知乎8月中旬连更的《CTF从0到1》知识地图上下篇，标题就是给新手的一句话劝告：“别再盲目刷题”，把web/misc/crypto/reverse/pwn五个方向的差别讲清楚了，比400集视频省一周。知乎刷题入口——bugku的列置换密码题解9月2日刚发，作者列出的第一步就是"一张纸条上凌乱的写着216534"；CTF.show那篇Base64编码隐藏的题解也点破了新手的通病：“刷题时大多只会机械套用工具、复制Payload”。知乎web实操——9月1日刚有人把Pikachu靶场的越权漏洞写成"全原理+源码分析+实战复现"的完整笔记；隐写方向看stegpy教程，从"隐写术是一门关于信息隐藏的技巧与科学"讲到工具安装；工具环境——Kali 2026新手教程，B站近三天就发了好几个版本。这些加起来，够一个大一生把五个方向各摸一遍再谈选型。
不值得花的钱：“从入门到精通"线上班（几千块）、脱产面授班（两万上下）、按"集数"囤的教程合集。判断标准一句话就够：凡是先吓你"自学是断头路"、再承诺"包就业"的，钱大概率打水漂——有机构被曝"用百分百包就业的噱头招生”，被骗的学员晒出了三万二的学费单。知乎
值得花的钱：组队打线下赛的路费和食宿。它同时买到核验场景（简历上唯一没法被"AI会写代码"稀释的部分）和圈内身份——CISCN这类教育部系赛事的国奖，是目前证据里唯一在保研端"意义大"的竞赛产出。
接下来两周值得盯的信号：《如何评价2026CISCN总决赛？》的话题8月31日才挂出来，截至9月2日还没有成规模的赛后题解，选手们之前从七月初就"等麻了"，放榜和口碑出来之前，别急着给自己定"今年要不要打CISCN"。知乎顺带看各校新生赛和战队招新有没有写明AI使用规则——如果连校赛都开始禁AI，那你真正该练的是什么，一目了然。
硬盘里存满400集，不如账号里存下第一个flag。
