mylogs.cn

AI 灌水冲垮苹果漏洞赏金？真漏洞反被卡住

2026 年 8 月 6 日

发布于

安全研究者用 AI 找漏洞的速度越来越快，但苹果公司却被另一件事困扰：大量由 AI 生成的低质量报告正在淹没漏洞赏金渠道，导致真正的高危漏洞反而被卡住。

报告配额与 30 天冷静期

据英国《金融时报》报道，苹果近期调整了漏洞赏金计划，对每位研究者同时处于”开放”状态的提交数量设置了上限，超过后需等待 30 天才能继续提交。苹果方面表示，这一调整是为了应对行业内 AI 生成安全报告激增的问题。研究者可以申请提高限额，以确保关键报告不会被遗漏。

这一机制的初衷是减负，但副作用已经显现。网络安全初创公司 Bynario 透露，该公司借助 ChatGPT 在三周内发现了超过 50 个 macOS 潜在漏洞，却在向苹果提交第 5 份报告时触发了限额，后续多个漏洞被耽搁。其中一个是编号为 CVE-2026-43760 的 macOS 屏幕共享漏洞：攻击者可通过旧版 VNC 密码认证路径绕过权限控制，最终获取 Mac 的 root 级命令执行权限。该漏洞在黑市上的估价可达约 20 万美元。

全行业”信噪比灾难”

这个问题并非苹果独有。开源项目 curl 的安全团队早在 2024 年初就警告，AI 生成的”安全垃圾”正在涌入漏洞赏金计划；到 2025 年，curl 项目中真实漏洞的确认率已从 AI 泛滥前的 15% 以上跌至不足 5%。

苹果自身也在用 AI 应对这一挑战。苹果证实已引入 AI 工具辅助解析和分析提交的报告。与此同时，AI 也实实在在帮助苹果发现了更多漏洞。2025 年 7 月末发布的 iOS 26.6 更新修复了近 90 个安全问题，其中部分漏洞的致谢名单中出现了 Anthropic Claude 与 OpenAI Codex Security。