一个价值20万美元的真实macOS漏洞未被报告，因为苹果的漏洞赏金邮箱被AI垃圾信息塞满

AI是一种网络安全风险，但并非你想的那样。苹果正在限制安全研究人员可以提交的漏洞报告数量，并强制执行30天的冷却期。据《金融时报》报道，大量低质量的、由AI生成的、带有虚构漏洞的报告正在堵塞审核流程。研究人员可以申请更高的配额。这一限制造成了真实的安全漏洞：意大利初创公司Bynario使用ChatGPT发现了一个严重的macOS漏洞，该漏洞可能让攻击者完全控制机器，但由于苹果已阻止进一步提交，他们无法报告。CEO Alfredo Pesoli估计该漏洞在黑市上的价值为10万至20万美元。苹果随后已联系Bynario。与此同时，苹果自己也在使用Anthropic和OpenAI的AI来寻找漏洞，其最新更新包含的修复数量是平时的五倍。这引出一个问题：漏洞赏金项目能否长期存在，还是大型科技公司将自行处理漏洞发现。Sophos的Rafe Pilling告诉《金融时报》，漏洞赏金项目已经从寻找漏洞转变为“以机器速度”验证漏洞。

苹果限制安全研究人员提交漏洞报告的数量，并强制30天冷却期。低质量AI生成的漏洞报告堵塞了审核流程，导致意大利初创公司Bynario发现严重macOS漏洞却无法提交，该漏洞黑市价值高达20万美元。苹果已联系Bynario，同时自身也在使用AI寻找漏洞。

• 苹果限制安全研究人员提交漏洞报告的数量，并强制30天冷却期。低质量AI生成的漏洞报告堵塞了审核流程，导致意大利初创公司Bynario发现严重macOS漏洞却无法提交，该漏洞黑市价值高达20万美元。苹果已联系Bynario，同时自身也在使用AI寻找漏洞。
• 原贴提到：AI as a cybersecurity risk, but not the way you'd think. Apple is cappin
• 来源：the-decoder.com

这是什么信号？苹果的漏洞赏金机制因AI生成的低质量报告泛滥而陷入拥堵，导致真实的高价值漏洞无法及时提交。这一事件揭示了AI在网络安全领域的双刃剑效应：一方面，攻击者或研究人员利用AI（如ChatGPT）提升漏洞发现能力；另一方面，AI生成的垃圾报告却淹没了人工审核流程，反而削弱了漏洞报告渠道的有效性。

为什么重要？这说明大型科技公司的安全运营正面临新的系统性风险——不是来自更复杂的攻击，而是来自信息过载。当漏洞赏金计划被AI“投毒”，真正的安全威胁可能被延迟修复，而攻击者却可以利用空隙进行攻击。同时，苹果等公司正在转向内部使用AI进行漏洞挖掘，这可能导致对外部研究人员依赖度下降，进而改变整个漏洞披露生态。

对谁有价值？安全研究人员、漏洞赏金平台、企业安全团队和AI安全产品创业者。研究人员需要意识到报告质量比数量更重要；平台需要设计更智能的过滤机制；安全团队应关注AI对漏洞管理流程的冲击；创业者可以开发专门识别AI生成漏洞报告的工具。

可以怎么行动？安全研究人员应避免使用AI直接生成漏洞报告，而是用AI辅助验证和增强报告的可信度；漏洞赏金平台应引入AI检测器或人工抽检机制，提高审核效率；企业安全团队需要评估自身漏洞报告渠道是否也面临类似风险，并建立冗余通道；关注苹果等公司的后续政策变化，寻找漏洞披露的替代渠道。

风险或限制：苹果的配额和冷却期政策可能只是临时措施，长期效果未知。这一事件局限于个别公司的实践，不能一概而论。此外，AI生成漏洞报告的“虚假阳性”问题可能始终存在，但完全依赖AI过滤也可能误伤真实报告。漏洞赏金模式能否存续，还需观察行业整体应对策略。

这条内容的真正价值，不只是“有人发布了一个新功能”，而是它揭示了 the-decoder.com 背后的产品方向、工作流变化或竞争信号。对 OPC 来说，这种信息可以转化成持续追踪的栏目选题。

如果把《一个价值20万美元的真实macOS漏洞未被报告，因为苹果的漏洞赏金邮箱被AI垃圾信息塞满》放到你的内容系统里，它最大的价值在于帮助读者更快看懂“为什么值得关注”，而不是只看到一条碎片化动态。

• Matthias Bastian 原帖