苹果终于受不了了，给自己的bug 赏金计划设置了冷静期。

急，bug 太多审不过来，怎么办啊… .

哈哈，算了！不看了。

bug 赏金计划，自 2016 年提出，原意是邀请安全研究人员提交苹果软件、硬件及服务中的安全漏洞，经人工审查确认有效后可获得现金奖励。

随后奖池不断抬高，2025 年 10 月，苹果宣布赏金计划重大升级：发现最严重、最复杂威胁的研究人员可获得500 万美元（约 3375 万人民币）。

然而当下，AI 大幅降低了找漏洞的门槛，大量业余选手用 ChatGPT 批量扫描代码、批量提交报告，其中夹杂着大量 AI 幻觉式的虚假漏洞。

这让整个苹果安全团队彻底分身乏术。

8 月 2 日，苹果已在内部安全门户上对漏洞提交设置了数量上限和 30 天冷静期。

苹果最强防御系统被 AI 轻松拿下

2025 年 9 月，苹果在 iPhone 17 发布会上同步公布了一项名为 " 内存完整执行 "（MIE）的安全功能。

这项技术耗时五年开发，基于苹果自研芯片的硬件能力与操作系统深度整合，为设备提供极致的内存安全保护。

苹果将该功能称为：

消费级操作系统内存安全史上最重大的一次升级。

△MIE 技术原理示意图：MIE 如何阻止内存攻击

然而 8 个月后，网络安全行业迎来了集体认知震荡。

2026 年 5 月，安全研究公司 Calif 披露了首个公开的 Apple M5 芯片 macOS 的漏洞利用。其员工借助 Claude 的 Mythos Preview 模型，将两个 macOS 漏洞串联成一条完整的本地权限提升链，绕过了 MIE 的保护。

并且，该团队（仅 3 人）从 " 我们发现了一些有趣的东西 " 到 " 我们在苹果最安全的消费级硬件上获得了可工作的 root shell"只用了 5 天。

该漏洞之严重最终使 Calif 的两位研究员亲自驱车前往 Apple 总部当面递交 55 页报告，以免被众多报告淹没。

Mythos Preview，由 Claude 在今年 4 月推出。官方宣称其在安全与编程领域已实现质变突破，且已自主发现了「每一个」主流操作系统和主流网络浏览器中的数千高危漏洞。然而因模型" 攻击性能力过强，公开会引发大灾难 "，仅向 40 家关键合作伙伴开放 API。

如此高速发展的 AI 技术正在冲击整个漏洞披露体系。

据预测，2026 年的 CVE（公开披露的网络安全漏洞列表）登记量将至 66000 个，较原始预估高出 46%。

不过，就像苹果所发现的那样，这些由 AI 生成的漏洞报告中含有大量的噪音和 AI 幻觉。而审核这些报告已经成为更耗费精力的事情。

这一点也是整个安全行业的痛点。

这是行业中一个相当困难的时期，维护人员和供应商已经被大量 bug 淹没。

Curl 创始人表示，他在 2026 年前三周收到了 20 份漏洞报告，其中「0 份是真正的安全漏洞」。Google 在 3 月宣布不再接受AI 生成的漏洞报告；开源云平台 Nextcloud 在 4 月暂停了其漏洞赏金计划；GitHub 在 7 月大幅削减公开漏洞赏金的奖金额度，并设立了仅限受邀研究员参与的 VIP 通道。

这种提交通道的拥堵已经产生了真实的安全后果，或将让安全流程本身也变成了安全问题。

例如，意大利安全初创公司 Bynario 利用 ChatGPT 在三周内发现了 macOS 中的 50 多个漏洞。其中还包括一个可以完全控制 macOS 的漏洞。

然而，当团队提交这条" 可以在黑市上可以卖到 10 万至 20 万美元 "的漏洞时，却发现苹果已经封锁了提交入口。

苹果安全更新首次致谢 AI

好消息是：防御者也能获得同样的 AI 工具。

坏消息是：防御者必须维持整个 IT 环境的正常运转，测试兼容性、协调发布窗口、确保更新不会让生产系统宕机。而攻击者呢？只需要找到一个入口。

2026 年 7 月 27 日，苹果发布了 macOS Tahoe 26.6 安全更新。这次更新，苹果修复了 194 个独立安全漏洞。

这次发布也是苹果首次在安全修复中正式致谢 AI。

△与 Claude 合作发现

其中，Anthropic 的 Claude 和 OpenAI 的 Codex Security 各获得三个漏洞的致谢，NVIDIA 的 AI Red Team 获得两个致谢，Z.ai 的 GLM 模型获得一个致谢。

（尽管三周前，苹果还正在法庭上起诉 OpenAI 窃取商业机密。）

苹果公开表示，AI 工具加快了我们的安全更新发布速度。从 macOS Tahoe 发布以来的安全更新数据我们可以看到这个加速趋势的轮廓：

26.5 版本中已经出现了 AI 工具的署名；26.5.2 作为非常规小版本更新，又追加了 38 个 CVE 的修复；26.6 一个月后发布，再次刷新纪录达到 155 个。

然而无法确定的是，这种高频发版节奏本身是否会成为新的安全变量？

毕竟，苹果一贯以严格控制发版节奏著称，每一次系统更新在推送到数十亿台设备之前，都要经过内部测试、兼容性验证和分阶段灰度发布。

如此看来，加速发版不是一个轻率的决定，它意味着苹果的安全团队做出了判断：等到下一个常规更新窗口再修复这些漏洞，风险已不可接受。

漏洞披露周期已经在变形，当 AI 将漏洞发现周期压缩到数天，按月发布安全更新的节奏或将变成一段漫长的「暴露期」。

参考链接：

[ 1 ] https://security.apple.com/blog/apple-security-bounty-evolved/

[ 2 ] https://security.apple.com/blog/memory-integrity-enforcement/

[ 3 ] https://support.apple.com/en-us/128067

[ 4 ] https://www.ft.com/content/4532122d-90f2-4433-9df6-ca99d8a141d2

一键三连「点赞」「转发」「小心心」

欢迎在评论区留下你的想法！

—  完  —

点亮星标

科技前沿进展每日见