Apple ogranicza liczbę zgłoszeń błędów bezpieczeństwa — winny zalew raportów generowanych przez AI
Apple wprowadziło zmiany w swoim programie bug bounty w odpowiedzi na gwałtowny wzrost liczby zgłoszeń luk bezpieczeństwa generowanych przy pomocy AI — potwierdziła firma w rozmowie z „Financial Times”, jak podaje redakcja 9to5Mac.
Wprowadzone w czerwcu zmiany ograniczają liczbę otwartych zgłoszeń, jakie badacz może mieć jednocześnie na wewnętrznym portalu bezpieczeństwa Apple, dodając też 30-dniowy okres karencji między kolejnymi zgłoszeniami — a osoby chcące przekroczyć ten limit muszą złożyć osobny wniosek o jego zwiększenie. Zmiana ma odpowiadać na branżowy problem: coraz potężniejsze duże modele językowe potrafią samodzielnie znajdować, łączyć i wykorzystywać luki bezpieczeństwa, przez co zespoły recenzujące zgłoszenia nie nadążają z ich weryfikacją.
To nie pierwszy krok Apple w tym kierunku — kilka tygodni temu firma przyspieszyła wydanie poprawek bezpieczeństwa właśnie z powodu ryzyka związanego z narzędziami AI wykorzystywanymi do ataków, o czym pisaliśmy już wcześniej na iMagazine. W notatkach bezpieczeństwa do tych aktualizacji Apple podziękowało badaczom korzystającym z narzędzi AI od OpenAI, Anthropic, Z.ai i innych firm za pomoc w wykryciu kilku podatności. Wśród wyróżnionych zespołów znalazł się Calif.io, który w maju informował, że przy użyciu modelu Mythos Preview od Anthropic zbudował działający exploit powodujący uszkodzenie pamięci jądra macOS na chipie M5 w zaledwie pięć dni.
Raport „FT” pojawił się zaledwie kilka dni po tym, jak GitHub wprowadził wielopoziomowy system dla własnego programu bug bounty, mający ograniczyć napływ niskiej jakości zgłoszeń generowanych przez AI, jednocześnie wyróżniając zgłoszenia od zweryfikowanych badaczy bezpieczeństwa.
„Financial Times” opisuje przy okazji historię Bynario — siedmioosobowego startupu cyberbezpieczeństwa, który korzystał z nowoczesnych narzędzi i modeli AI do wykrywania podatności. Firmie zablokowano zgłoszenia po tym, jak w tym roku przesłała Apple pięć błędów, a w zeszłym — osiem, z których jeden został załatany w listopadowej aktualizacji oprogramowania. W wyniku publikacji „FT” Apple skontaktowało się już z Bynario i przegląda jego ustalenia, w tym łańcuch exploitów pozwalających na eskalację uprawnień, który potencjalnie mógłby dać atakującemu pełną kontrolę nad Makiem.
W oświadczeniu dla „FT” Apple przyznało, że w obliczu rosnącej liczby zgłoszeń bezpieczeństwa generowanych przez AI w całej branży, niedawno dostosowało limit nowych, otwartych jednocześnie zgłoszeń dla pojedynczego badacza. Firma dodała, że badacze mogą w każdej chwili z łatwością poprosić o zwiększenie tego limitu, żeby najważniejsze zgłoszenia trafiały do zespołów bezpieczeństwa bez opóźnień.
Krzysztof Kołacz
🎙️ O technologii i nas samych w podcaście oraz newsletterze „Bo czemu nie?”. ☕️ O kawie w podcaście „Kawa. Bo czemu nie?”. 🏃🏻♂️ Po godzinach biegam z wdzięczności za życie.
