웹 서버가 작동하고 있는 작업 디렉토리가 /app 경로이기 때문입니다. /app/app.py에서 실행되고 있는 서비스이므로 /flag.txt로 접근해야됩니다. 직접 로컬 웹 서버 구축해서 테스트해보시면 확실히 알 수 있으실 것 같네요.