Apple ограничивает количество заявок на поиск уязвимостей из-за шквала отчетов, созданных ИИ

Apple ограничивает количество заявок, которые эксперты по безопасности могут подавать в рамках программы Apple Security Bounty.

Программа предусматривает вознаграждение исследователей в размере до 5 миллионов долларов за обнаружение серьезных уязвимостей в операционных системах, сервисах или устройствах Apple. Заявки подаются через специальный портал, и до недавнего времени их количество не ограничивалось.

Как сообщает The Financial Times, в июне Apple ввела лимиты из-за шквала заявок, созданных с помощью ИИ. Точное число допустимых отчетов неизвестно, однако введен 30-дневный период ожидания («cool-off period») между подачами. При этом исследователи могут запросить увеличение квоты, если необходимо сообщить о критических уязвимостях, требующих незамедлительного внимания.

«В связи с растущим объемом заявок по безопасности, созданных с помощью ИИ во всей отрасли, мы недавно скорректировали количество новых отчетов, которые исследователь может держать открытыми одновременно», — сообщила Apple изданию FT, добавив, что запросы на дополнительные заявки можно подавать в любое время.

В статье приводится опыт итальянской исследовательской группы Bynario. С помощью ChatGPT группа обнаружила 50 багов в macOS. Одна из уязвимостей позволяла злоумышленникам получить полный контроль над компьютером, однако исследователи не смогли отправить отчет об этом в Apple из-за новых ограничений.

Группа сообщила о восьми багах в 2024 году и пяти в текущем, прежде чем Apple заблокировала возможность подачи дальнейших отчетов. Позже производитель iPhone подтвердил FT, что находится на связи с Bynario и рассматривает их последние заявки.

FT добавляет, что для проверки каждого отчета в Apple привлекаются эксперты, однако компания также использует ИИ для оценки срочности поступивших сообщений.