苹果漏洞赏金计划：人工智能垃圾邮件控制的局限性

Η 蘋果 αναγκάστηκε να βάλει πλαφόν στις αναφορές ασφαλείας του bug bounty προγράμματός της επειδή πνίγεται από ψευδή ευρήματα που παράγουν εργαλεία τεχνητής νοημοσύνης. Εσύ, ως ερευνητής ή απλός παρατηρητής της κυβερνοασφάλειας, βλέπεις ένα σύστημα επιβράβευσης εκατομμυρίων να τρικλίζει εξαιτίας της αλόγιστης χρήσης LLMs.

人工智能因素

什么时候 金融时报 苹果公司公布了新的安全上限，由此可见，生成式逻辑模型（LLM）给科技巨头的安全部门带来了巨大的挑战。任何“业余”研究人员现在都可以将一段代码输入聊天机器人，然后收到数十份理论上的漏洞报告。根据已公开的数据，这些报告绝大多数都是根本不存在的漏洞，或是算法凭空捏造出来的。

结果如何？苹果的安全团队把时间都花在了过滤噪音上，而不是真正调查那些威胁数百万用户的漏洞。TechNoid 此前曾报道过…… 自动化黑客工具但是，从剧本到LLM幻觉的转变彻底改变了游戏规则。

拜纳里奥案

网络安全初创公司 Bynario 的经历清楚地表明了问题的严重性。该公司利用 ChatGPT 在短短三周内就发现了 macOS 中的 50 多个漏洞。其中一个漏洞是严重的权限提升漏洞，攻击者可以利用该漏洞完全控制任何 Mac 电脑。

然而，Bynario 发现自己陷入了绝境。由于 2025 年和 2026 年分别只能向苹果提交八份和五份报告，系统禁止了它的提交。尽管它发现了一个真正危险的后门，但由于提交池中充斥着其他公司提交的低质量自动化报告，它面临着被排除在审查流程之外的风险。苹果公司已经开始审查这些提交的报告，但这一事件证明，当前的评估模型存在“缺陷”。

苹果的困境

颇具讽刺意味的是，苹果公司一方面用人工智能的武器对抗人工智能，另一方面却也成为了人工智能的受害者。该公司拥有业内最慷慨的漏洞赏金计划之一，对实际漏洞利用链提供高达 2 万美元的奖励，加上额外奖金，总奖励可超过 5 万美元。

但与此同时，苹果公司自身也使用像 Codex 这样的工具。 安保防护 的 OpenAI 为了识别和修复漏洞，苹果甚至在像 iOS 26.6 这样的单次更新中修复了近 90 个漏洞。问题不在于技术本身，而在于苹果主要依赖人工来审查外部收到的报告，这造成了巨大的生产力瓶颈。

TechNoid 的观点

Εμείς στο TechNoid θεωρούμε ότι το πλαφόν της Apple δεν είναι παρά μια προσωρινή ασφαλιστική δικλείδα και όχι λύση. Η απαγόρευση ή ο περιορισμός των υποβολών τιμωρεί τελικά τους σοβαρούς ερευνητές που χρησιμοποιούν έξυπνα εργαλεία για να κάνουν τη δουλειά τους ταχύτερα, ενώ αφήνει ανοιχτή την κερκόπορτα για τους κακόβουλους hackers που δεν νοιάζονται για τα bounties και θα εκμεταλλευτούν τα κενά στο σκοτάδι. Αν η Apple θέλει να προστατέψει το οικοσύστημά της, οφείλει να επενδύσει σε αυτοματοποιημένα συστήματα φιλτραρίσματος AI που θα ξεχωρίζουν τα πραγματικά exploits από τις «παραισθήσεις» των chatbots, αντί να βάζει κόφτες στους ανθρώπους.