Apple hat Schwachstellenmeldungen eine Quote verpasst, und 11 Lücken im selben Patch-Paket wurden von KI gefunden

Am 2. August berichtete die Financial Times, dass Apple Forschern, die Sicherheitsprobleme über Feedback Assistant einreichen, zwei Grenzen setzt: eine Obergrenze für die Zahl der gleichzeitig offenen Meldungen und eine Abkühlphase von 30 Tagen, sobald diese Grenze erreicht ist. Eine höhere Quote muss gesondert beantragt werden. Apples Begründung lautet, dass KI-gestützte Schwachstellenmeldungen schneller eintreffen, als Menschen sie verifizieren können. Die konkrete Zahl hat Apple nicht veröffentlicht.

Eine Woche zuvor, am 27. Juli, veröffentlichte Apple 8 Sicherheitshinweise und schloss 210 Schwachstellen. Elf davon wurden von KI gefunden.

Diese beiden Dinge liegen zu dicht beieinander, um sie getrennt zu lesen.

Wem diese 11 Lücken zugeschrieben werden

Apples Sicherheitshinweise nennen die Meldenden. Im Paket vom 27. Juli standen diese Namen:

• Claude (Anthropic), 4: CVE-2026-64757 und CVE-2026-43715 in WebKit, CVE-2026-64704 in SMB, CVE-2026-64703 in WebDAV
• OpenAI Codex Security, 2: beide in WebKit
• NVIDIA AI Red Team, 3: zwei in WebKit, eine Rechteausweitung in CUPS
• GLM (Z.AI), 2: beide in WebKit
• Atuin Automated Vulnerability Discovery Engine, 1: Bildschirmfreigabe

Die schwerste des Pakets ist CVE-2026-64747 im AVEVideoEncoder: Ausführung beliebigen Codes mit Kernel-Rechten, betroffen ist alles vom iPhone bis zur Vision Pro. Auf macOS Tahoe kamen sieben weitere hinzu, die root erreichen: zwei in CUPS, je eine in Core Services, Accounts, SecurityAgent, Remote Management und MediaRemote.

Die von Atuin gemeldete Lücke in der Bildschirmfreigabe trägt die Nummer CVE-2026-43760, gefunden hat sie das italienische Unternehmen Bynario. Deren Plattform Atlas läuft auf GPT-5.5 und förderte in drei Wochen über 50 verdächtige Stellen in macOS zutage. Die Auslösebedingungen dieser einen sind sehr konkret: Auf dem Rechner sind Bildschirmfreigabe oder Remoteverwaltung aktiv und der klassische VNC-Passwortzugang ist eingeschaltet, dann kann ein bereits authentifizierter VNC-Client geschützte Daten lesen und Dateien als root anlegen. Bynario führte anschließend vor, wie sich das zur Befehlsausführung als root ausbauen lässt. Apple hat die Lücke in macOS Tahoe 26.6 geschlossen und drei Namen genannt: Alfredo Pesoli von Bynar.io, wdszzml und Atuin, die Maschine.

Die Art von Einreichung, die Apple gestern begrenzt hat, und die Funde, für die Apple vergangene Woche gedankt hat, kommen aus derselben Ecke.

Die Prämie verdoppeln und gleichzeitig die Tür verengen

Im Oktober 2025 verdoppelte Apple seine Höchstprämie von 1 auf 2 Millionen Dollar, und zwar für vollständige Exploit-Ketten, die ohne jede Nutzerinteraktion auskommen und das leisten, was söldnerhafte Spionagesoftware leistet. Für Lücken in Beta-Software und Umgehungen des Lockdown-Modus gibt es Zuschläge, die eine einzelne Auszahlung über 5 Millionen treiben können. Ein Sandbox-Ausbruch in WebKit mit einem Klick liegt bei maximal 300.000 Dollar, ein Angriff über Funknähe bei bis zu 1 Million. Die neue Staffel gilt seit November 2025. Apples eigene Gesamtzahl: 35 Millionen Dollar seit 2020, ausgezahlt an 800 Forscher.

Keine zwölf Monate später bekommt die Tür eine Quote.

Ein Fuß auf dem Gaspedal, der andere auf der Bremse. Die verdoppelte Prämie sagt nach außen: findet mehr. Die Quote sagt: schickt weniger. Beide Signale gehen gleichzeitig raus, und wer sie empfängt, kann nur raten, welches ernst gemeint ist.

Apple ist nicht blind für die Stelle des Engpasses. Das Unternehmen sortiert eingehende Meldungen inzwischen mit KI vor, aber die Bestätigung bleibt Handarbeit: nachstellen, Voraussetzungen abgleichen, Dringlichkeit einschätzen. Lücken finden läuft längst parallel auf Maschinen. Lücken bestätigen läuft weiterhin seriell durch Menschen. Solange dieser mittlere Durchlass nicht breiter wird, staut sich jedes zusätzliche Gas weiter oben an derselben Stelle.

curl hat das Gegenexperiment gemacht

curl betreibt seit 2019 eine Prämie auf HackerOne. Über Jahre lag der Anteil eingereichter Meldungen, die sich als echte Schwachstellen bestätigten, über 15 Prozent. 2025 fiel dieser Wert unter 5 Prozent: mehr als neunzehn von zwanzig Meldungen waren wertlos. Im Juli 2025 schätzte Daniel Stenberg, dass rund 20 Prozent der Einreichungen reiner KI-Schrott waren.

Er hat ein typisches Exemplar veröffentlicht: eine angeblich in HTTP/3 steckende Schwachstelle, überzeugend formuliert, mit GDB-Sitzungen und Registerauszügen garniert. Das einzige Problem war, dass die darin genannte Funktion in curl überhaupt nicht existiert.

Wir werden faktisch mit einem DDoS überzogen.

Das ist Stenberg. Er hat noch etwas dazu gesagt, warum sich das nicht durch Reden lösen lässt: Wir haben keine Möglichkeit, die Arbeitsweise all dieser Leute und ihrer Schrottmaschinen zu ändern.

Am 26. Januar 2026 kündigte er das Ende der curl-Prämie an. Zum 31. Januar lief sie aus, ab dem 1. Februar wanderten Sicherheitsmeldungen zu GitHub. Sein Motiv formulierte er unmissverständlich:

Das Hauptziel beim Abschalten der Prämie ist, den Leuten den Anreiz zu nehmen, uns Müll und schlecht recherchierte Meldungen zu schicken.

Man beachte, an welchem Ende er ansetzt: Die Tür bleibt offen, das Geld verschwindet. Melden darf weiterhin jeder. Melden bringt nur kein Geld mehr.

Den Umzug zu GitHub hat er später selbst als Fehler bezeichnet. Er listete fünfzehn Mängel des GitHub-Systems für Sicherheitshinweise auf, darunter, dass die vollständige Meldung per E-Mail und Benachrichtigung unverändert hinausgeht und sich das nicht abschalten lässt, dass ungültige Meldungen nicht öffentlich gemacht werden können und dass sich die CVE-Felder nicht bearbeiten lassen. Am 1. März kehrte curl zu HackerOne zurück, die Prämie aber kam nicht zurück. Seine Worte: the reward money is still gone, there is no bug-bounty.

Was passierte, nachdem das Geld weg war, in seiner Formulierung: Die hereinbrechende Flutwelle ist deutlich abgeebbt. Er hat keinen Sieg verkündet. Sein nächster Satz lautete, vielleicht hätten all die sloptimists nur noch nicht herausgefunden, wohin sie ihre Meldungen jetzt schicken sollen.

Danach schloss curl gleich ganz, fünf Wochen lang: vom 1. Juli 00:00 Uhr MESZ bis zum 3. August 09:00 Uhr MESZ wurden überhaupt keine Schwachstellenmeldungen angenommen. Was auch immer ihr in diesem Monat findet, ihr müsst warten, so Stenbergs Ansage. Dieser Endzeitpunkt ist heute Morgen. curl hat gerade wieder geöffnet.

GitHub ist den dritten Weg gegangen

Am 27. Juli, dem Tag, an dem Apple jene 210 Fixes auslieferte, trat auch GitHubs neue Prämienstaffel in Kraft. Die Beträge der öffentlichen Schiene wurden auf jeder Schweregradstufe mindestens halbiert; kritische Funde sanken von bisher 20.000 bis über 30.000 Dollar auf pauschal 10.000. Gleichzeitig eröffnete GitHub eine dauerhafte Schiene nur auf Einladung, die ab 30.000 Dollar zahlt.

GitHubs Begründung ist konkreter als die von Apple. Neben dem Wachstum legitimer Meldungen, schreibt das Unternehmen, sei die Zahl der Einreichungen ohne Machbarkeitsnachweis stark gestiegen, ebenso theoretischer Angriffsszenarien, die einer Prüfung nicht standhalten, und von Funden, die längst auf veröffentlichten Ausschlusslisten stehen.

GitHub sagt nicht, diese Meldungen seien von KI geschrieben. GitHub sagt, was diesen Meldungen fehlt. Kein PoC, keine Prüfbarkeit, Wiederholung bereits ausgeschlossener Punkte.

Dazu kommt eine begleitende Regel: Neuzugänge sind in der Zahl der Meldungen begrenzt, bis sie ihre Qualität nachgewiesen haben. Wer eine Bilanz aufbaut, bekommt einen breiteren Kanal, am Ende steht jene Schiene auf Einladung. Laut The Register bauen auch Google, Bugcrowd und HackerOne in eine ähnliche Richtung um.

Eine Quote wirkt auf die Person, nicht auf den Inhalt

Alle drei stehen vor derselben Veränderung: Einen Bericht zu schreiben, der professionell aussieht, kostet fast nichts mehr. Der Unterschied liegt darin, an welcher Stelle der Maschine sie angesetzt haben.

Eine Quote ist ein grobes Werkzeug, weil sie zählt, wie viele Meldungen jemand offen hat, und nicht, ob eine davon hält. Bynario, die in drei Wochen 50 Spuren produzieren, und jemand, der rohe Modellausgaben hineinkopiert, sind vor einer Quote dieselbe Art von Konto. Beim einen blockiert sie echte Produktion, beim anderen Müll. Eine Regel, zwei entgegengesetzte Wirkungen.

Schwerer wiegt, dass schon die Kategorie falsch ist. In der öffentlichen Debatte heißt es durchgehend, man begrenze KI-generierte Meldungen. Doch 11 der 210 Fixes vom 27. Juli wurden genau von KI gefunden, und einer davon wurde von jener Firma gemeldet, die in der Berichterstattung über diese Regel ständig genannt wird. Wer einen Bericht geschrieben hat und ob dieser Bericht hält, sind zwei voneinander unabhängige Eigenschaften. Wer nach dem Ersten filtert, trifft zwangsläufig gleichzeitig die Falschen und lässt die Richtigen durchrutschen.

Target Flags ist die Hälfte, die Apple richtig getroffen hat

In Apples Änderungen steckt noch etwas namens Target Flags: Forscher sollen nachweisen, dass eine Lücke tatsächlich einen bestimmten Zielzustand erreicht, statt ein Problem zu beschreiben, das theoretisch existieren müsste.

Eine Quote fragt, wer man ist und wie viele man eingereicht hat. Target Flags fragt, ob das Ding läuft. Das eine belastet die Person, das andere den Inhalt. Und KI ist ausgerechnet extrem billig darin, Text zu erzeugen, der richtig aussieht, und kaum billiger geworden darin, eine echte Exploit-Kette zum Laufen zu bringen. Eine Nachweispflicht landet genau auf dieser Kostendifferenz.

Stenbergs Streichung der Prämie bewegt ebenfalls Nachweiskosten, nur in Opportunitätskosten gerechnet: Melden bringt kein Geld, also investieren nur noch die Zeit, denen curl wirklich am Herzen liegt.

Eine Quote sitzt auf keiner Kostendifferenz. Sie sitzt auf dem Durchfluss.

Wer sonst noch auf dieser Kurve liegt

Überall, wo offene Eingabe auf menschliche Sortierung trifft, rutscht es in dieselbe Richtung:

• Recruiting. Die Grenzkosten von Lebenslauf und Anschreiben sind auf null gefallen. Das andere Ende hat sich nicht verändert.
• Issues und Pull Requests in Open-Source-Projekten. curl hat es nur als Erster laut gesagt.
• Einreichungen, Begutachtung, Preisvergaben. Die Zahl der Gutachter ist fest.
• Support-Tickets und Rückerstattungswidersprüche. Widerspruchstexte lassen sich längst in Serie erzeugen.
• App-Store-Prüfung. Apple selbst betreibt außerhalb von Feedback Assistant eine ganze Warteschlange davon.

Diese Systeme beruhten alle auf einem Satz: Einreichungen sind knapp, also kommen Menschen hinterher. Seit 2026 stimmt dieser Satz nicht mehr, und die meisten Produkte haben ihren Eingang seither nicht neu entworfen.

Es stehen ungefähr drei Mechanismen zur Wahl, und alle drei laufen bereits irgendwo:

1. Eine Nachweispflicht — den Einreichenden vorab einen Beleg abverlangen, den sich Generierung nicht ausdenken kann. Apples Target Flags und der von GitHub verlangte PoC gehören hierher.
2. Reputationsstufen — die bisherige Trefferquote bestimmt die Breite des Kanals. GitHubs Schiene auf Einladung plus die Obergrenze für Neue ist die vollständige Umsetzung: Wer trifft, bekommt 30.000 Dollar, wer keine Bilanz hat, stellt sich an.
3. Kaution oder Einbehalt — eine ungültige Einreichung kostet etwas und schiebt die Kosten zurück auf die Senderseite. Die Abwehr betrügerischer Rückerstattungen im E-Commerce läuft nach dieser Logik.

Die Quote kommt hinter diesen dreien. Sie ist am leichtesten umzusetzen und am wenigsten wählerisch beim Inhalt.

curls Weg hat einen Nebeneffekt, der eigens genannt gehört: Ist das Geld weg, ist die verbliebene Gruppe treffsicherer, aber auch kleiner. Für ein Open-Source-Projekt ist das ein akzeptabler Tausch. Für ein Unternehmen, das externe Forscher braucht, um das iPhone zu sichern, womöglich nicht. Apple kann das Geld nicht streichen, musste also anderswo ansetzen, und der erste Hebel in Reichweite war eine Quote.

Dieselben Leute, dieselbe Sorte Maschinen

Die Rechteausweitung in der Bildschirmfreigabe, die Apple am 27. Juli geschlossen hat, CVE-2026-43760, wurde von Bynario und einer Maschine namens Atuin gemeldet. Was Apple am 2. August angekündigt hat, ist eine Grenze für das Tempo, in dem genau diese Leute und genau diese Sorte Maschinen etwas hineinreichen dürfen.

curl hat heute Morgen um 9 Uhr wieder geöffnet, weiterhin ohne Prämie. Als Stenberg sich zuletzt öffentlich äußerte, sagte er nicht, das Problem sei gelöst. Er sagte, vielleicht hätten die Leute nur noch nicht herausgefunden, wohin sie es jetzt schicken sollen.

Der eine hat den Anreiz geändert, der andere das Tor. In drei Monaten lohnt ein Blick darauf, an welchem Ende sich die Zahlen tatsächlich bewegt haben.