アップルが脆弱性報告に上限を設けた。同じ週のパッチのうち 11 件は AI が見つけたものだった

8 月 2 日のフィナンシャル・タイムズによると、アップルは Feedback Assistant から脆弱性を報告する研究者に二つの制限をかけた。同時に開いておける報告の件数に上限を設け、上限に達すると 30 日間のクールオフ期間が入る。より高い枠が必要なら個別に申請する。アップルが挙げた理由は、AI を使った脆弱性報告が人手による確認の速度を超えて流入していることだ。具体的な上限値は公表されていない。

その一週間前、7 月 27 日、アップルは 8 本のセキュリティ告知を出し、210 件の脆弱性を一挙に塞いだ。そのうち 11 件は、AI が見つけたものである。

この二つは、別々の出来事として読むには近すぎる。

その 11 件のクレジット

アップルのセキュリティ告知には報告者名が載る。7 月 27 日の一群には、こういう名前が並んでいた。

• Claude（Anthropic）4 件：CVE-2026-64757 と CVE-2026-43715 が WebKit、CVE-2026-64704 が SMB、CVE-2026-64703 が WebDAV
• OpenAI Codex Security 2 件：いずれも WebKit
• NVIDIA AI レッドチーム 3 件：WebKit 2 件、CUPS の権限昇格 1 件
• GLM（Z.AI）2 件：いずれも WebKit
• Atuin 自動脆弱性探索エンジン 1 件：画面共有

この一群で最も重いのは AVEVideoEncoder の CVE-2026-64747 で、カーネル権限で任意コードを実行でき、iPhone から Vision Pro まで全プラットフォームに影響する。macOS Tahoe には root を取れるものが他に 7 件あり、CUPS が 2 件、Core Services、Accounts、SecurityAgent、Remote Management、MediaRemote が各 1 件だった。

Atuin が報告した画面共有の脆弱性は CVE-2026-43760、見つけたのはイタリアの Bynario 社である。同社の Atlas プラットフォームは GPT-5.5 上で動き、三週間で macOS に 50 件以上の疑わしい箇所を掘り出した。この一件の成立条件はかなり具体的だ。画面共有かリモートマネージメントが有効で、かつ従来型の VNC パスワードアクセスが使える状態なら、認証済みの VNC クライアントが保護されたデータを読み、root でファイルを作成できる。Bynario はさらに、それを root でのコマンド実行へ広げてみせた。アップルは macOS Tahoe 26.6 で修正し、クレジットに三つの名前を載せた。Bynar.io の Alfredo Pesoli、wdszzml、そして Atuin という機械である。

アップルが昨日制限すると言った種類の提出物と、アップルが先週感謝した発見の一群は、同じ場所から来ている。

報奨金を倍にしながら、入口を狭める

2025 年 10 月、アップルは脆弱性報奨金の最高額を 100 万ドルから 200 万ドルへ倍増した。対象は、ユーザーの操作を一切必要とせず、傭兵型スパイウェアに匹敵する結果を出す完全な攻撃チェーンである。ベータ版の脆弱性やロックダウンモードの回避には加算があり、満額なら 500 万ドルを超える。ワンクリックの WebKit サンドボックス脱出は最高 30 万ドル、無線近接攻撃は最高 100 万ドル。新しい価格表は 2025 年 11 月に発効した。アップル自身が公表している累計は、2020 年以降で 3500 万ドル、受取研究者 800 人である。

一年足らずのうちに、アップルは入口に上限を付けた。

片足でアクセルを踏み、もう片足でブレーキを踏んでいる。 報奨金の倍増は「もっと見つけろ」という信号で、上限は「そんなに送るな」という信号だ。二つが同時に出れば、受け取った側はどちらが本音かを推測するしかない。

アップルがボトルネックの位置を分かっていないわけではない。いまは AI を使って報告の優先順位付けをしている。しかし確認の工程はまだ人間の仕事だ。再現し、前提条件を照合し、緊急度を判断する。脆弱性を見つける作業はすでに機械で並列に走る。確認する作業は依然として人を通って直列に流れる。この真ん中の関門が広がらないかぎり、上流でいくらアクセルを踏んでも同じ場所で詰まる。

curl は逆方向の実験をやっていた

curl は 2019 年から HackerOne で報奨金を運用してきた。長年、提出された報告のうち実際の脆弱性と確認できる比率は 15% を超えていた。2025 年、この数字は 5% を割った。二十件のうち十九件以上が無駄だったということだ。2025 年 7 月、Daniel Stenberg は提出物のおよそ 20% が純粋な AI スロップだと見積もっている。

彼は典型例を公開している。HTTP/3 に存在すると主張する脆弱性で、体裁は整っており、GDB のセッションとレジスタダンプまで添えてあった。唯一の問題は、そこで参照されている関数が curl に存在しないことだった。

われわれは事実上 DDoS を受けている。

これは Stenberg の言葉だ。彼はもう一つ、なぜこれが対話で解決できないのかについても述べている。あの人たちと彼らのスロップ生成機の動き方を、こちらが変えられるわけがない、と。

2026 年 1 月 26 日、彼は curl の報奨金計画の終了を発表した。1 月 31 日で停止し、2 月 1 日からセキュリティ報告は GitHub で受けることになった。動機は率直だった。

報奨金を止める主な目的は、ゴミやろくに調べていない報告をこちらに送る動機をなくすことだ。

彼が動かしたのはどちら側かに注目してほしい。入口は開けたまま、金を外した。 誰でも報告はできる。ただ、報告しても金にならない。

GitHub への移行は、のちに彼自身が誤りと判断した。GitHub のセキュリティアドバイザリ機能について十五個の欠点を並べている。報告全文がメールと通知でそのまま送られ、それを止める手段がないこと、無効な報告を公開できないこと、CVE のフィールドを編集できないこと。3 月 1 日、curl は HackerOne に戻った。ただし報奨金は戻さなかった。 彼の書いた通り、the reward money is still gone, there is no bug-bounty。

金を外したあと何が起きたか。彼の表現では、押し寄せていた津波は大幅に引いた。彼は勝利宣言をしなかった。すぐ次の行にこう書いている。単に sloptimist たちが、いまどこへ送ればいいのかまだ分かっていないだけかもしれない、と。

さらにその先、curl は五週間まるごと店じまいした。7 月 1 日 00:00 CEST から 8 月 3 日 09:00 CEST まで、脆弱性報告を一切受け付けない。今月なにを見つけても待ってもらう、というのが Stenberg の言い分だった。その終了時刻が今朝である。curl はたったいま再開した。

GitHub が取ったのは第三の道

アップルが 210 件を修正した同じ日、7 月 27 日、GitHub の新しい報奨金規則も発効している。公開枠の報奨金はすべての深刻度で少なくとも半減し、critical はそれまでの 2 万〜3 万ドル超から一律 1 万ドルになった。同時に、3 万ドル以上を払う常設の招待制枠を設けた。

GitHub の説明はアップルより具体的だ。正常に増えている適格な報告に加えて、概念実証を伴わない報告、精査に耐えない理論上の攻撃シナリオ、すでに対象外リストに公示済みの発見が大量に流入している、と書いている。

それらの報告が AI 製だとは言っていない。それらの報告に何が欠けているかを言っている。 PoC がない、精査に耐えない、公示済みの無効項の繰り返しである。

付随する規則がもう一つある。新規の研究者は、質を証明するまで提出できる件数に上限がかかる。実績を積めば通路が広がり、行き着く先があの招待制枠だ。The Register によれば、Google、Bugcrowd、HackerOne も同様の再編を進めている。

上限は人に効く。中身には効かない

三者が直面しているのは同じ変化である。専門家らしく見える脆弱性報告を書く費用が、ほぼゼロになった。違うのは、どの部位に手を入れたかだ。

上限が鈍器なのは、それが数えているのが「あなたが何件開いているか」であって「あなたのその一件が成立するか」ではないからだ。三週間で 50 件の手がかりを出せる Bynario と、モデルの出力をそのまま貼る人間は、上限の前では同じ種類のアカウントである。前者では本物の生産量が止まり、後者ではゴミが止まる。同じ規則が、正反対の効果を出す。

さらに厄介なのは、分類そのものが間違っていることだ。公共の議論ではずっと「AI 生成の報告を制限する」と語られてきた。しかし 7 月 27 日の 210 件のうち 11 件はまさに AI が見つけたもので、そのうち一件は、この規制を報じる記事が繰り返し名前を挙げているまさにその会社の報告である。誰が書いたかと、それが成立するかは、互いに無関係な属性だ。 前者で濾せば、誤って弾くことと取りこぼすことが同時に起きる。

Target Flags のほうはアップルが正しく当てた半分だ

アップルの一連の変更には Target Flags というものもある。理論上あるはずの問題を記述するのではなく、脆弱性が実際に特定の目標状態へ到達したことを研究者に証明させる仕組みだ。

上限が問うのは「あなたは誰で、何件出したか」である。Target Flags が問うのは「あなたのそれは動くのか」だ。前者は人に費用を課し、後者は中身に費用を課す。そして AI は、正しく見えるテキストを生成する費用が極端に安く、実際の攻撃チェーンを通す費用はさほど下がっていない。立証のハードルは、ちょうどこの費用差の上に落ちる。

Stenberg の報奨金撤廃も、動かしているのは同じ立証費用で、単位が機会費用に変わっただけだ。報告しても金が入らない以上、本当に curl を良くしたい人間だけがその時間を使う。

上限はどの費用差の上にも乗っていない。乗っているのは流量である。

この曲線に乗っているのは他にもいる

「開かれた入力 + 人手による振り分け」という工程は、いまどれも同じ方向へ滑っている。

• 採用。履歴書と志望動機書の限界費用がゼロになった。受け取る側は変わっていない。
• オープンソースの issue と PR。curl は最初に声を上げただけだ。
• 投稿、査読、選考。審査員の数は固定されている。
• カスタマーサポートの起票と返金申し立て。申し立ての文面はすでに量産できる。
• アプリストア審査。アップル自身、Feedback Assistant の外にまるごと一本の審査列を持っている。

これらの仕組みが前提にしていたのは同じ一文だった。提出は希少だから、人手で見きれる。 2026 年、この前提は成立しない。そして大半のプロダクトは、入口を設計し直していない。

選べる仕組みはおおむね三つで、どれもすでに誰かが走らせている。

1. 立証のハードル——生成では代替できない証拠を、提出者に先に払わせる。アップルの Target Flags、GitHub が求める PoC がこれにあたる。
2. 信用の階層化——過去の的中率に通路の幅を決めさせる。GitHub の招待制枠と新規の提出上限が一揃いの実装だ。的中する者は 3 万ドル、実績のない者は列に並ぶ。
3. 保証金や没収——無効な提出には何かを失わせ、費用を送信側へ押し戻す。EC の不正返金対策が走らせているのはこの論理である。

上限はこの三つの後ろに来る。実装が最も容易で、中身を最も選ばない。

curl の道には言っておくべき副作用がある。金を外すと、残った人の的中率は上がるが、人数も減る。 オープンソースのプロジェクトには受け入れ可能な交換だ。外部の研究者に iPhone を守らせている会社には、そうとは限らない。アップルは金を外せないので、別の場所を探すしかなく、最初に手が届いたのが上限だった。

同じ人たち、同じ種類の機械

アップルが 7 月 27 日に塞いだ画面共有の権限昇格、CVE-2026-43760 を報告したのは Bynario と Atuin という機械だった。アップルが 8 月 2 日に制限すると発表したのは、その同じ人たちと同じ種類の機械が中へ差し出す速度である。

curl は今朝 9 時に再開した。報奨金はいまもない。Stenberg が最後に公に語ったとき、問題が解決したとは言わなかった。彼が言ったのは、あの人たちはまだ、いまどこへ送ればいいのか分かっていないだけかもしれない、である。

一方は動機を変え、一方はゲートを変えた。三か月後、どちらの側の数字が動いたのかを見に戻る価値がある。