蘋果給漏洞回報裝了配額，而同一批修補裡有 11 個洞是 AI 找的

8 月 2 日《金融時報》報導，蘋果給用 Feedback Assistant 提交安全問題的研究者設了兩道限制：能同時掛著的回報數有上限，觸到上限之後有 30 天冷卻期，想要更高配額得單獨申請。蘋果給的理由是 AI 輔助的漏洞回報湧進來太多，人工核不過來。具體上限是多少，蘋果沒公開。

一週前，7 月 27 日，蘋果發了 8 份安全公告，一口氣修掉 210 個漏洞。其中 11 個，是 AI 找到的。

這兩件事挨得太近了，近到不能當成兩件事看。

那 11 個洞的署名

蘋果的安全公告是會寫致謝的，誰報的漏洞就寫誰。7 月 27 日那批的致謝名單裡，出現了這些名字：

• Claude（Anthropic）4 個：CVE-2026-64757 和 CVE-2026-43715 在 WebKit，CVE-2026-64704 在 SMB，CVE-2026-64703 在 WebDAV
• OpenAI Codex Security 2 個：都在 WebKit
• NVIDIA AI 紅隊 3 個：2 個 WebKit，1 個 CUPS 提權
• 智譜 GLM（Z.AI）2 個：都在 WebKit
• Atuin 自動化漏洞發現引擎 1 個：螢幕共享

這批更新裡最狠的一個是 CVE-2026-64747，在 AVEVideoEncoder 裡，能以核心權限執行任意程式碼，從 iPhone 一路影響到 Vision Pro。macOS Tahoe 上另有 7 個能拿到 root 的洞，CUPS 列印系統占了兩個，Core Services、Accounts、SecurityAgent、Remote Management、MediaRemote 各一個。

Atuin 報的那個螢幕共享漏洞編號 CVE-2026-43760，找到它的是義大利公司 Bynario。他們的 Atlas 平台跑在 GPT-5.5 上，三週之內在 macOS 上刨出 50 多個可疑點。這一個的觸發條件挺具體：機器開了螢幕共享或遠端管理，並且啟用了傳統 VNC 密碼存取，那麼一個已經通過認證的 VNC 用戶端就能讀到受保護的資料、以 root 身分建立檔案，Bynario 還示範了怎麼把它接著做成 root 執行命令。蘋果在 macOS Tahoe 26.6 裡修了，致謝裡掛著三個名字：Bynar.io 的 Alfredo Pesoli、wdszzml，還有 Atuin 這台機器。

蘋果昨天要限制的那類提交，和蘋果上週感謝的那批發現，來自同一個地方。

一邊把獎金翻倍，一邊把入口關小

2025 年 10 月，蘋果把漏洞獎金的頂級獎勵從 100 萬美元翻到 200 萬美元，對應的是那種不需要使用者做任何操作、效果接近傭兵級間諜軟體的完整利用鏈。beta 系統裡的漏洞、繞過鎖定模式的漏洞另有加成，加滿能超過 500 萬。單點一擊的 WebKit 沙箱逃逸最高 30 萬，無線鄰近利用最高 100 萬。新價目 2025 年 11 月生效。蘋果自己揭露的累計數字是：2020 年以來付出去 3500 萬美元，收款的研究者 800 人。

不到一年之後，蘋果給入口裝了配額。

一隻腳在踩油門，另一隻腳在踩煞車。 獎金翻倍是在告訴外面「多找一點」，配額是在告訴外面「少交一點」。這兩個訊號同時發出去，收到的人只能自己猜哪個是真的。

蘋果不是沒意識到分診是瓶頸。它現在也用 AI 給回報排優先級，但確認這一步還是人做的——要重現出來、要核對觸發條件、要判斷有多急。找洞這件事已經能並行跑機器，核洞還是串行走人。中間那道坎不收窄，前面加多少油門都會堵在同一個地方。

curl 做過一次方向相反的實驗

curl 從 2019 年開始在 HackerOne 上跑獎金。多年來，提交上來的回報裡能被確認成真漏洞的比例穩定在 15% 以上。2025 年這個數字跌破了 5%——二十份回報裡有十九份以上是廢的。Daniel Stenberg 在 2025 年 7 月估計，大約 20% 的提交是純粹的 AI 垃圾。

他公開過一份典型樣本：一個聲稱存在於 HTTP/3 裡的漏洞，回報寫得像模像樣，附了 GDB 工作階段和暫存器 dump，唯一的問題是它引用的那個函式在 curl 裡根本不存在。

我們實際上是在被 DDoS。

這句是 Stenberg 說的。他還說過另一句，講的是這件事為什麼沒法靠溝通解決：我們沒有能力去改變這些人和他們那些垃圾生成機的工作方式。

2026 年 1 月 26 日他發文宣布終止 curl 的獎金計畫，1 月 31 日執行，2 月 1 日起安全回報改到 GitHub 收。他把動機說得很直白：

關掉獎金的主要目的，是消除人們向我們提交垃圾和沒做過功課的回報的動機。

注意他動的是哪一頭：入口照開，錢撤掉。 誰都還能報，只是報了不再有錢。

搬到 GitHub 這一步後來被他自己判定為錯誤。他列了 GitHub 安全諮詢系統的十五個毛病，包括整份回報會經由郵件和通知原樣發出去且關不掉、無效回報沒法公開揭露、CVE 欄位不能編輯。3 月 1 日 curl 搬回 HackerOne，但獎金沒有恢復——他寫的是 the reward money is still gone, there is no bug-bounty。

撤錢之後發生了什麼，他的原話是「湧進來的海嘯大幅退去了」。他沒有急著宣布勝利，緊跟著的一句是：也許只是那些 sloptimist 還沒搞清楚現在該往哪兒投。

再往後，curl 乾脆關門了五週：7 月 1 日 00:00 CEST 到 8 月 3 日 09:00 CEST，期間不收任何漏洞回報。Stenberg 的說法是，這個月裡你發現什麼問題都得等著。那個時間點是今天上午，台北時間下午 3 點，curl 剛剛重新開門。

GitHub 走的是第三條路

蘋果修那 210 個漏洞的同一天，7 月 27 日，GitHub 的新獎金規則也開始生效：公開通道的獎金每個嚴重級別至少砍一半，critical 從原來的 2 萬到 3 萬美元以上，固定成 1 萬。同時它開了一個常設的邀請制級距，付 3 萬美元起。

GitHub 給的理由寫得比蘋果具體。它說湧進來的除了正常增長的合規回報，還有大量「拿不出概念驗證的回報、經不起推敲的理論攻擊情境、以及早就寫在不合格清單裡的發現」。

它沒有說這些回報是 AI 寫的，它說的是這些回報缺什麼。 缺 PoC，缺可推敲性，重複了已經公示過的無效項。

配套的還有一條：新來的研究者在證明自己的品質之前，能提交的回報數量有上限。攢夠紀錄之後往上走，走到頭是那個邀請制級距。The Register 的說法是，Google、Bugcrowd、HackerOne 也都在做類似的重構。

配額作用在人身上，不在內容上

三家面對的是同一個變化：寫一份看起來專業的漏洞回報，成本已經接近零。區別在於各自動的部位不一樣。

配額是個鈍器，因為它計的是「你掛了幾份回報」，而不是「你這份回報成不成立」。Bynario 那種三週能出 50 條線索的團隊，和一個把模型輸出原樣貼過來的人，在配額面前是同一類帳號。前者被卡住的是真產能，後者被卡住的是垃圾——同一條規則，兩種完全相反的效果。

更麻煩的是分類本身就錯了。這件事在公共討論裡的說法一直是「限制 AI 生成的回報」，可 7 月 27 日那 210 個漏洞裡有 11 個正是 AI 找的，其中一個還就是蘋果這次限流政策的報導裡被反覆提到的那家公司報的。回報是誰寫的，和回報成不成立，是兩個互不相干的屬性。 按前者過濾，必然同時誤傷和漏放。

Target Flags 才是蘋果做對的那一半

蘋果這套改動裡還有一樣東西叫 Target Flags——要求研究者證明漏洞真的達成了某個具體的目標狀態，而不是描述一個理論上應該存在的問題。

配額問的是「你是誰、你交過幾份」，Target Flags 問的是「你這份東西能不能跑起來」。前者在人身上加成本，後者在內容身上加成本。而 AI 恰好在生成看起來對的文本上成本極低，在跑通一條真實利用鏈上成本沒降多少——舉證門檻正好卡在這個成本差上。

Stenberg 撤獎金，動的也是舉證成本，只不過換成了機會成本：報了沒錢拿，只有真想讓 curl 變好的人還願意花那個時間。

配額沒有卡在任何一個成本差上。它卡的是流量。

還有誰在這條曲線上

任何「開放輸入 + 人工分診」的環節，現在都在往同一個方向滑：

• 招募。履歷和求職信的邊際成本歸零，HR 那一頭沒變。
• 開源專案的 issue 和 PR。curl 只是最早喊出來的那個。
• 投稿、審稿、評獎。評審數量是固定的。
• 客服工單和退款申訴。申訴話術已經可以批次生成。
• 應用商店審核。蘋果自己在 Feedback Assistant 之外還有一整套審核佇列。

這些系統當初的產品假設是同一句話：提交是稀缺的，所以人工看得過來。 這句話在 2026 年不再成立，而絕大多數產品還沒有重新設計過它的入口。

能選的機制大致三種，都已經有人在跑：

1. 舉證門檻——讓提交者先付出一份沒法靠生成解決的證據。蘋果的 Target Flags、GitHub 要的那份 PoC 屬於這一類。
2. 信譽分級——讓歷史準確率決定通道寬度。GitHub 的邀請制級距加新人提交上限就是完整的一套：準的人拿三萬，沒紀錄的人先排隊。
3. 押金或罰沒——提交無效就扣掉點什麼，把成本壓回提交那一端。電商攔惡意退款跑的就是這個邏輯。

配額排在這三種後面。它最容易實現，也最不挑內容。

curl 那條路有個副作用：錢撤掉之後，留下來的人準確率更高，但人也變少了。 這對一個開源專案是可接受的交換，對一個要靠外部研究者守住 iPhone 的公司未必。蘋果不能撤錢，所以它只能在別的地方想辦法，而它先想到的是配額。

同一批人，同一類機器

蘋果 7 月 27 日修掉的那個螢幕共享提權，CVE-2026-43760，報它的是 Bynario 和一台叫 Atuin 的機器。蘋果 8 月 2 日宣布要限制的，是同一批人和同一類機器往裡遞東西的速度。

curl 今天上午 9 點重新開門，獎金還是沒有。Stenberg 上一次公開表態時沒說問題解決了，他說的是也許那些人還沒搞清楚現在該往哪兒投。

一家在改激勵，一家在改閘門。三個月後可以回來看哪一頭的數字動了。