苹果给漏洞报告装了配额，而同一批补丁里有 11 个洞是 AI 找的

8 月 2 日《金融时报》报道，苹果给用 Feedback Assistant 提交安全问题的研究者设了两道限制：能同时挂着的报告数有上限，触到上限之后有 30 天冷静期，想要更高配额得单独申请。苹果给的理由是 AI 辅助的漏洞报告涌进来太多，人工核不过来。具体上限是多少，苹果没公开。

一周前，7 月 27 日，苹果发了 8 份安全公告，一口气修掉 210 个漏洞。其中 11 个，是 AI 找到的。

这两件事挨得太近了，近到不能当成两件事看。

那 11 个洞的署名

苹果的安全公告是会写致谢的，谁报的漏洞就写谁。7 月 27 日那批的致谢名单里，出现了这些名字：

• Claude（Anthropic）4 个：CVE-2026-64757 和 CVE-2026-43715 在 WebKit，CVE-2026-64704 在 SMB，CVE-2026-64703 在 WebDAV
• OpenAI Codex Security 2 个：都在 WebKit
• 英伟达 AI 红队 3 个：2 个 WebKit，1 个 CUPS 提权
• 智谱 GLM（Z.AI）2 个：都在 WebKit
• Atuin 自动化漏洞发现引擎 1 个：屏幕共享

这批更新里最狠的一个是 CVE-2026-64747，在 AVEVideoEncoder 里，能以内核权限执行任意代码，从 iPhone 一路影响到 Vision Pro。macOS Tahoe 上另有 7 个能拿到 root 的洞，CUPS 打印系统占了两个，Core Services、Accounts、SecurityAgent、Remote Management、MediaRemote 各一个。

Atuin 报的那个屏幕共享漏洞编号 CVE-2026-43760，找到它的是意大利公司 Bynario。他们的 Atlas 平台跑在 GPT-5.5 上，三周之内在 macOS 上刨出 50 多个可疑点。这一个的触发条件挺具体：机器开了屏幕共享或远程管理，并且启用了传统 VNC 密码访问，那么一个已经通过认证的 VNC 客户端就能读到受保护的数据、以 root 身份创建文件，Bynario 还演示了怎么把它接着做成 root 执行命令。苹果在 macOS Tahoe 26.6 里修了，致谢里挂着三个名字：Bynar.io 的 Alfredo Pesoli、wdszzml，还有 Atuin 这台机器。

苹果昨天要限制的那类提交，和苹果上周感谢的那批发现，来自同一个地方。

一边把赏金翻倍，一边把入口关小

2025 年 10 月，苹果把漏洞赏金的顶格奖励从 100 万美元翻到 200 万美元，对应的是那种不需要用户做任何操作、效果接近雇佣兵级间谍软件的完整利用链。beta 系统里的漏洞、绕过锁定模式的漏洞另有加成，加满能超过 500 万。单点一击的 WebKit 沙箱逃逸最高 30 万，无线邻近利用最高 100 万。新价目 2025 年 11 月生效。苹果自己披露的累计数字是：2020 年以来付出去 3500 万美元，收款的研究者 800 人。

不到一年之后，苹果给入口装了配额。

一只脚在加油门，另一只脚在踩刹车。 赏金翻倍是在告诉外面「多找一点」，配额是在告诉外面「少交一点」。这两个信号同时发出去，收到的人只能自己猜哪个是真的。

苹果不是没意识到分诊是瓶颈。它现在也用 AI 给报告排优先级，但确认这一步还是人做的——要复现出来、要核对触发条件、要判断有多急。找洞这件事已经能并行跑机器，核洞还是串行走人。中间那道坎不收窄，前面加多少油门都会堵在同一个地方。

curl 做过一次方向相反的实验

curl 从 2019 年开始在 HackerOne 上跑赏金。多年来，提交上来的报告里能被确认成真漏洞的比例稳定在 15% 以上。2025 年这个数字跌破了 5%——二十份报告里有十九份以上是废的。Daniel Stenberg 在 2025 年 7 月估计，大约 20% 的提交是纯粹的 AI 垃圾。

他公开过一份典型样本：一个声称存在于 HTTP/3 里的漏洞，报告写得像模像样，附了 GDB 会话和寄存器 dump，唯一的问题是它引用的那个函数在 curl 里根本不存在。

我们实际上是在被 DDoS。

这句是 Stenberg 说的。他还说过另一句，讲的是这件事为什么没法靠沟通解决：我们没有能力去改变这些人和他们那些垃圾生成机的工作方式。

2026 年 1 月 26 日他发文宣布终止 curl 的赏金计划，1 月 31 日执行，2 月 1 日起安全报告改到 GitHub 收。他把动机说得很直白：

关掉赏金的主要目的，是消除人们向我们提交垃圾和没做过功课的报告的动机。

注意他动的是哪一头：入口照开，钱撤掉。 谁都还能报，只是报了不再有钱。

搬到 GitHub 这一步后来被他自己判定为错误。他列了 GitHub 安全咨询系统的十五个毛病，包括整份报告会经由邮件和通知原样发出去且关不掉、无效报告没法公开披露、CVE 字段不能编辑。3 月 1 日 curl 搬回 HackerOne，但赏金没有恢复——他写的是 the reward money is still gone, there is no bug-bounty。

撤钱之后发生了什么，他的原话是「涌进来的海啸大幅退去了」。他没有急着宣布胜利，紧跟着的一句是：也许只是那些 sloptimist 还没搞清楚现在该往哪儿投。

再往后，curl 干脆关门了五周：7 月 1 日 00:00 CEST 到 8 月 3 日 09:00 CEST，期间不收任何漏洞报告。Stenberg 的说法是，这个月里你发现什么问题都得等着。那个时间点是今天上午，北京时间下午 3 点，curl 刚刚重新开门。

GitHub 走的是第三条路

苹果修那 210 个漏洞的同一天，7 月 27 日，GitHub 的新赏金规则也开始生效：公开通道的赏金每个严重级别至少砍一半，critical 从原来的 2 万到 3 万美元以上，固定成 1 万。同时它开了一个常设的邀请制档位，付 3 万美元起。

GitHub 给的理由写得比苹果具体。它说涌进来的除了正常增长的合规报告，还有大量「拿不出概念验证的报告、经不起推敲的理论攻击场景、以及早就写在不合格清单里的发现」。

它没有说这些报告是 AI 写的，它说的是这些报告缺什么。 缺 PoC，缺可推敲性，重复了已经公示过的无效项。

配套的还有一条：新来的研究者在证明自己的质量之前，能提交的报告数量有上限。攒够记录之后往上走，走到头是那个邀请制档位。The Register 的说法是，Google、Bugcrowd、HackerOne 也都在做类似的重构。

配额作用在人身上，不在内容上

三家面对的是同一个变化：写一份看起来专业的漏洞报告，成本已经接近零。区别在于各自动的部位不一样。

配额是个钝器，因为它计的是「你挂了几份报告」，而不是「你这份报告成不成立」。Bynario 那种三周能出 50 条线索的团队，和一个把模型输出原样贴过来的人，在配额面前是同一类账号。前者被卡住的是真产能，后者被卡住的是垃圾——同一条规则，两种完全相反的效果。

更麻烦的是分类本身就错了。这件事在公共讨论里的说法一直是「限制 AI 生成的报告」，可 7 月 27 日那 210 个漏洞里有 11 个正是 AI 找的，其中一个还就是苹果这次限流政策的报道里被反复提到的那家公司报的。报告是谁写的，和报告成不成立，是两个互不相干的属性。 按前者过滤，必然同时误伤和漏放。

Target Flags 才是苹果做对的那一半

苹果这套改动里还有一样东西叫 Target Flags——要求研究者证明漏洞真的达成了某个具体的目标状态，而不是描述一个理论上应该存在的问题。

配额问的是「你是谁、你交过几份」，Target Flags 问的是「你这份东西能不能跑起来」。前者在人身上加成本，后者在内容身上加成本。而 AI 恰好在生成看起来对的文本上成本极低，在跑通一条真实利用链上成本没降多少——举证门槛正好卡在这个成本差上。

Stenberg 撤赏金，动的也是举证成本，只不过换成了机会成本：报了没钱拿，只有真想让 curl 变好的人还愿意花那个时间。

配额没有卡在任何一个成本差上。它卡的是流量。

还有谁在这条曲线上

任何「开放输入 + 人工分诊」的环节，现在都在往同一个方向滑：

• 招聘。简历和求职信的边际成本归零，HR 那一头没变。
• 开源项目的 issue 和 PR。curl 只是最早喊出来的那个。
• 投稿、审稿、评奖。评委数量是固定的。
• 客服工单和退款申诉。申诉话术已经可以批量生成。
• 应用商店审核。苹果自己在 Feedback Assistant 之外还有一整套审核队列。

这些系统当初的产品假设是同一句话：提交是稀缺的，所以人工看得过来。 这句话在 2026 年不再成立，而绝大多数产品还没有重新设计过它的入口。

能选的机制大致三种，都已经有人在跑：

1. 举证门槛——让提交者先付出一份没法靠生成解决的证据。苹果的 Target Flags、GitHub 要的那份 PoC 属于这一类。
2. 信誉分级——让历史准确率决定通道宽度。GitHub 的邀请制档位加新人提交上限就是完整的一套：准的人拿三万，没记录的人先排队。
3. 押金或罚没——提交无效就扣掉点什么，把成本压回提交那一端。电商拦恶意退款跑的就是这个逻辑。

配额排在这三种后面。它最容易实现，也最不挑内容。

curl 那条路有个副作用：钱撤掉之后，留下来的人准确率更高，但人也变少了。 这对一个开源项目是可接受的交换，对一个要靠外部研究者守住 iPhone 的公司未必。苹果不能撤钱，所以它只能在别的地方想办法，而它先想到的是配额。

同一批人，同一类机器

苹果 7 月 27 日修掉的那个屏幕共享提权，CVE-2026-43760，报它的是 Bynario 和一台叫 Atuin 的机器。苹果 8 月 2 日宣布要限制的，是同一批人和同一类机器往里递东西的速度。

curl 今天上午 9 点重新开门，赏金还是没有。Stenberg 上一次公开表态时没说问题解决了，他说的是也许那些人还没搞清楚现在该往哪儿投。

一家在改激励，一家在改闸门。三个月后可以回来看哪一头的数字动了。