Apple 對漏洞獎金計畫設了上限限制，原因是 AI 生成的假漏洞報告淹沒了自家資安團隊。義大利資安公司 Bynario 用 ChatGPT 在三週內於 macOS 找出 50 多個漏洞，其中一個是能完全接管系統的提權漏洞，卻因為配額限制送不進去。而 Apple 現在的解法，是再派一套 AI 去分類這些 AI 產出的報告。
（前情提要：白帽駭客揭露 Cosmos 暗藏 0-day 漏洞！節點重啟恐全面死鎖癱瘓，官方卻將通報當垃圾郵件）
（背景補充：OpenAI 傳再爆 AI 代理「逃脫沙盒」！內部調查揭更多失控證據，遭質疑是行銷噱頭）
漏洞獎金計畫的邏輯很簡單，你找到我的問題，我付你錢。這套運作二十年的機制，正在被一群不用自己動腦的獵人們拖垮。
據《金融時報》揭露，Apple 已經對資安研究員能同時開啟的新漏洞報告數量設上限，並在兩批提交之間加上 30 天冷卻期，內部研究員可以事先申請調高額度。
Apple 的說法是：「隨著整個產業 AI 生成的資安提交量成長，我們最近調整了研究員一次能開啟的新報告數量。」
意思就是，Apple 的工程師被 AI 幻覺出來的假漏洞投稿淹沒，真正有料的報告卡在垃圾裡找不到。
三週挖出 50 個漏洞送不進去
這件事的荒謬在一個具體案例上看得最清楚。
義大利資安新創 Bynario 用 ChatGPT 掃 macOS，三週找出 50 多個漏洞。這些不全是垃圾，其中一個是提權漏洞，利用它可以拿到 Mac 的無限制存取權，等於整台機器交出去。
問題是 Bynario 送不進去，他們的提交額度已經用完，Apple 事後表示已經和這家公司聯繫、正在檢視他們的提交。
這就是配額制的副作用。Apple 想擋的是用 AI 亂槍打鳥的業餘獵人，但同樣的門檻也擋住了用 AI 認真做事的人。
curl 早就被打垮過一次
Apple 不是第一個投降的，只是最有錢的那個。
curl 這個幾乎裝在全世界每一台連網裝置上的開源工具，維護者 Daniel Stenberg 在 2026 年 2 月 1 日直接關掉了 HackerOne 上的漏洞獎金計畫。原因一模一樣，AI 生成的漏洞報告又長又自信，而且經常整份是編出來的幻覺。
curl 的提交裡確認為真實漏洞的比例，多年來都在 15% 以上，2025 年掉到 5% 以下，到年底變成大約每 20 到 30 份才有 1 份是準確的。Stenberg 形容這已經不是資安審查，是恐怖攻擊通報，把他七人資安團隊的時間、注意力，以及「活下去的意志」全部抽乾。
curl 的獎金開到重大漏洞 1 萬美元、低危 500 美元，錢不多，但足以吸引一批人把 LLM 的輸出直接貼上來碰運氣。關掉獎金一個月後，curl 在 3 月又回到 HackerOne，報告品質有改善，但數量繼續往上爬。
Apple 的解法是再派一套 AI
最後蘋果的做法才是整件事真正的黑色幽默。
Apple 處理這些 AI 垃圾的方式，是部署自家的 AI 來做初步分類，人工驗證仍然保留。同時 Apple 因為參加了 Project Glasswing 的計畫，用 Claude Mythos 這類模型主動找自家產品的漏洞，強化對 AI 攻擊的防禦。
所以現在的畫面是這樣，一邊是用 AI 生成漏洞報告的人，另一邊是用 AI 過濾漏洞報告的 Apple，中間夾著一小群真的懂資安的人類，負責在兩台機器的交火中把真漏洞撿出來。
補一個細節，Stenberg 過去曾公開說 Mythos 是「公關噱頭」，而 Apple 現在正在用它守門，打臉真的很快。
*本文僅供參考，不構成投資建議。文中 Apple 政策調整細節來自《金融時報》報導與 Apple 對外說法，curl 相關數據取自維護者 Daniel Stenberg 公開發表的說明。*
📍相關報導📍
蘋果 20 萬份機密外洩》包括 iPhone 18 Pro 未發表零件圖、機密供應商清單
