macOS-feil verdt 200 000 dollar ble aldri meldt inn: Apples kø var full av KI-slop

«Bug bounty-programmer har gått fra å finne sårbarheter til å validere dem i maskinhastighet» — Rafe Pilling, Sophos, til Financial Times

Innstrammingen kom i juni, forteller Apple til Financial Times. Selskapet begrenset hvor mange åpne sårbarhetsrapporter en enkelt forsker kan ha gående samtidig, og la på 30 dagers karantene for den som treffer taket. Bakgrunnen er en flom av KI-genererte innmeldinger som hallusinerer sikkerhetshull.

Prisen ble betalt av italienske Bynario. Selskapet brukte ChatGPT til å finne en macOS-sårbarhet som ga full kontroll over maskinen, men kom ikke gjennom fordi Apple hadde stengt for flere innmeldinger. Daglig leder Alfredo Pesoli anslår svartebørsverdien til mellom 100 000 og 200 000 dollar. Apple har i ettertid tatt kontakt med Bynario.

Samtidig kjører Apple selv KI-modeller fra Anthropic og OpenAI for å lete etter sårbarheter, og de siste oppdateringene inneholdt fem ganger så mange rettinger som normalt. Det er den samme teknologien på begge sider av køen: den fyller innboksen fortere enn mennesker rekker å lese den, og den tømmer den fortere enn eksterne forskere rekker å bidra.

Mønsteret er ikke nytt. HackerOnes Internet Bug Bounty stengte for nye rapporter i mars etter at andelen gyldige innmeldinger falt fra 15 til under 5 prosent. Forskjellen nå er at det er Apple, med et av bransjens best betalte programmer, som gjør det samme.

Hva bør du gjøre?

1. Reproduser funnet manuelt før du melder det inn. Kjører du en LLM mot en kodebase, straffer programmer som Apples volum, ikke bare feil.
2. Ha en reservekanal klar. Møter du en stengt kø med en alvorlig sårbarhet, dokumenter forsøket og gå via CERT eller leverandørens security.txt.