报告配额与 30 天冷静期

据英国《金融时报》报道，苹果近期调整了漏洞赏金计划，对每位研究者同时处于”开放”状态的提交数量设置了上限，超过后需等待 30 天才能继续提交。苹果方面表示，这一调整是为了应对行业内 AI 生成安全报告激增的问题。研究者可以申请提高限额，以确保关键报告不会被遗漏。

这一机制的初衷是减负，但副作用已经显现。网络安全初创公司 Bynario 透露，该公司借助 ChatGPT 在三周内发现了超过 50 个 macOS 潜在漏洞，却在向苹果提交第 5 份报告时触发了限额，后续多个漏洞被耽搁。其中一个是编号为 CVE-2026-43760 的 macOS 屏幕共享漏洞：攻击者可通过旧版 VNC 密码认证路径绕过权限控制，最终获取 Mac 的 root 级命令执行权限。该漏洞在黑市上的估价可达约 20 万美元。

全行业”信噪比灾难”

这个问题并非苹果独有。开源项目 curl 的安全团队早在 2024 年初就警告，AI 生成的”安全垃圾”正在涌入漏洞赏金计划；到 2025 年，curl 项目中真实漏洞的确认率已从 AI 泛滥前的 15% 以上跌至不足 5%。

苹果自身也在用 AI 应对这一挑战。苹果证实已引入 AI 工具辅助解析和分析提交的报告。与此同时，AI 也实实在在帮助苹果发现了更多漏洞。2025 年 7 月末发布的 iOS 26.6 更新修复了近 90 个安全问题，其中部分漏洞的致谢名单中出现了 Anthropic Claude 与 OpenAI Codex Security。

AI 既是矛也是盾

从 Bynario 的案例可以看出，AI 辅助漏洞挖掘的效率极高：这家公司去年全年只向苹果提交了 8 个漏洞，今年在三周内借助 ChatGPT 就找出了 50 个以上。但低水平使用者同样能用 AI 批量生成看似专业、实则 hallucinated 的报告，快速消耗平台审核资源。

漏洞赏金机制的核心是”可信发现”与”可信验证”。当生成假报告的成本远低于验证成本时，审核体系就会形成结构性瓶颈。苹果设置配额是一种务实的短期防御，但长远来看，如何区分 AI 辅助的合法研究人与 AI 驱动的投机者，将成为整个行业必须共同面对的治理命题。

来源：MacRumors / 9to5Mac / 英国《金融时报》