最重要的数字是 50：意大利安全初创公司 Bynario 用 ChatGPT 在三周内发现的 macOS 漏洞数量，其中一个提权漏洞可让攻击者完全控制一台 Mac，黑市估值高达 20 万美元，且按苹果最高档奖励可能价值 200 万美元。这个关键漏洞当时无法提交，因为苹果六月悄悄给计划设了上限：研究者在安全门户中不能再持有无限量未结报告，触及上限即触发 30 天冷却期，提高额度可以申请但非自动。《金融时报》最先报道了这项变化，MacRumors、Engadget 和 9to5Mac 跟进；Bynario 的案例让它变得具体可读。
原因与本编辑部在 Chrome 破纪录的六月和微软补丁积压中追踪的是同一条曲线：AI 辅助分析如今发现真实漏洞的速度超过人类验证的速度，而验证是无法快速扩员的部分，因为区分真实漏洞利用与自信的幻觉需要资深工程师。Sophos 的 Rafe Pilling 用一句话概括了这种倒转：漏洞悬赏计划已经从发现漏洞变成了以机器速度验证漏洞。苹果同时处在这条曲线的两边，这是值得停留的细节。它最新的系统更新 iOS 26.6 修复了近 90 个漏洞，其中一些归功于 Anthropic 的 Claude 和 OpenAI 的 Codex Security；苹果还部署了自己的 AI 系统来分诊涌入的报告，把合法漏洞和这些工具产生的 AI 废料分开。
应该让每一位计划负责人警惕的失败模式不是数量，而是阻断：一个黑市价值不菲的严重漏洞因为配额拦住了一位不知道配额存在的合法研究者而未能上报。事件公开后，苹果联系了 Bynario 并正在审核其提交，所以那个特定漏洞最终会到达安全团队。面对同样的洪流，GitHub 降低了对低危和中危漏洞的奖励；谷歌和微软正在并行应对同样的数量。但还没有任何大型计划回答根本问题：如何为验证支付得起发现如今奔跑的速度。
对身处这个故事中的人，实用的注脚很清楚。如果你运营悬赏计划，不公开的配额会恰好拦住你最想要的那份报告，所以申请提高额度的路径必须显眼，而不只是写在文档里。如果你用 AI 工具做研究，要预期每个大型计划都会加上限和分诊，并把这一点计入你的流程。对其他所有人：AI 在 Chrome 中发现 13 年旧漏洞的同一周，它也淹没了世界上最慷慨的悬赏计划。两句话都是真的，而第二句是更新的新闻。