一份修了 22 個漏洞的日誌，把 AI 列進了貢獻者名單

8 月 19 日，蘋果公示了 Safari 26.6.1 的安全更新日誌。二十二個涉及 WebKit 的 CVE 漏洞，九個由 OpenAI Codex Security 發現，佔比約 41%。這組數字在科技媒體上被當成新聞標題傳播，但更值得停下來看的，是這份日誌本身：一份安全公告，其實是一種極度收斂的排版設計，而這一次，名單的組成悄悄變了。

先看這份日誌的長相

蘋果的安全公告有自己的版式慣例。CVE 編號、受影響組件、問題描述、修復狀態、發現者，欄位固定，語句克制。描述漏洞的措辭也高度模板化：「處理惡意構造的網頁內容可能導致意外崩潰」「可能造成內存破壞」。這種寫法不追求可讀性，追求的是可核對性。每一句話對應一個編號，每一個編號對應一次可被驗證的修復。

這次公告裡列出的問題，多數屬於同一族：攻擊者透過惡意網頁內容觸發 Safari 或相關進程崩潰，其中兩個被明確標註可能導致內存破壞，另有一個 WebKit History 漏洞，會在使用者造訪惡意網站時洩露敏感資料。對一般使用者來說，這些描述抽象到近乎無感；對安全研究者來說，這份清單就是一份履歷。

而履歷上的名字，是這份公告裡最有敘事張力的部分。

貢獻者名單，一種低調的排版權力

在安全公告的版面裡，發現者欄位通常排在最不起眼的位置，字級最小，卻是最多人在讀的段落。研究者和研究機構盯著名單確認誰先找到了什麼，公司盯著名單評估誰在對自己的產品做認真審查。

這一次的名單很熱鬧：OpenAI Codex Security、Out of Bounds、Cisco Talos、Citadelo、Trend Micro Zero Day Initiative、Calif.io、Braze Security Team。傳統資安機構和一個 AI 應用程式安全智慧體並排出現，用同一套格式被記錄。名單本身不做任何區分，但讀的人會。

九除以二十二，約 41%。這個比例之所以被媒體單獨拎出來當標題，正是因為它打破了大家對「誰在找漏洞」的預設。過去這個位置的常客是人類研究者，是靠 fuzzing、逆向和熬夜換來的成果。現在有一個智慧體，能分析程式碼上下文與威脅模型，自動檢測並驗證漏洞，寫進了同一欄。

這與我們先前觀察過的AI 文本水印在五小時內被拆掉的現象，其實是同一枚硬幣的兩面：當 AI 開始在文本的一端製造標記，它也在程式碼的另一端找出破口。工具的能力邊界，正在往安全工程的縱深移動。

版本號裡的訊號

另一個容易被略過的細節是版本號本身：26.6.1。蘋果近年把版本命名對齊年份，26 對應 2026，6.1 是年度內的迭代位置。安全修補版本通常只動最後一位數字，這個「.1」的克制是有意的：它告訴系統管理員和企業 IT，這次更新沒有功能變化，只有修復，可以快速部署，不需要重新測試相容性。

版本號在這裡扮演的角色，和按鈕的圓角半徑類似：一個看似技術性的參數，實際上是產品對外溝通的一部分。26.6.1 傳達的訊息是「低風險、儘快更新」，而這個訊息是被設計進命名規則裡的，靠使用者自己讀出來。

名單變化背後的趨勢

把視野拉遠一點看，這份公告所處的脈絡正在變動。Safari 的桌面市佔長期在個位數徘徊，Chrome 佔七成以上；但 WebKit 作為 iOS 上所有瀏覽器的強制引擎，其安全品質影響的範圍遠大於 Safari 本身。WebKit 的漏洞修補，實際上是整個 iOS 生態的安全底座。

在這個脈絡下，一個 AI 智慧體佔掉 41% 的發現量，對蘋果是好消息：修補速度取決於發現速度，發現速度越快，攻擊窗口越短。對資安行業則是一個需要消化的訊號：Cisco Talos 和 Zero Day Initiative 這些名字旁邊，多了一個不喫飯不睡覺的同行。

值得注意的是公告的措辭設計。蘋果把 OpenAI Codex Security 和其他發現者用完全相同的格式記錄，沒有加註「AI 工具」或任何區分性說明。這種一視同仁的排版，本身就是一種表態：在貢獻者名單裡，能找到漏洞的就是貢獻者，至於用的是大腦還是模型，日誌不關心。

觀點

一份安全日誌很少有美學可言，它的美在於準確。而這份 26.6.1 的公告值得記住的，是那個 41% 第一次以如此具體的數字出現在蘋果官方文件裡。安全公告的發現者欄位向來是最誠實的地方，它不講願景，只記錄誰做了什麼。當 AI 智慧體開始在這個欄位裡穩定佔有一席，這件事已經不需要任何宣傳語，數字自己說完了。

對使用者來說，該做的只有一件事：更新。其餘的意義，留給名單。