Face à une montée en flèche des rapports de sécurité liés à l’IA, Apple a décidé de réformer son programme de récompenses pour les débuggeurs. Les changements apportés visent à mieux gérer le flux de soumissions et à garantir que les découvertes critiques soient prises en compte efficacement.
Apple impose des limites sur les rapports de vulnérabilité
Le géant technologique a confirmé à The Financial Times qu’il a instauré un plafond concernant le nombre de rapports de vulnérabilité ouverts. Un délai de réflexion de 30 jours a aussi été mis en place pour traiter les soumissions via son portail de sécurité interne. Les chercheurs doivent maintenant demander une augmentation de leur quota.
Ces nouvelles mesures, en vigueur depuis juin, visent à répondre à une avalanche de rapports de bugs alimentés par la puissance croissante des modèles de langage. Ces derniers détectent, enchaînent et exploitent des vulnérabilités, plaçant les équipes de révision dans une situation délicate face à ce flux incessant.
Récemment, Apple a également intensifié ses mises à jour de sécurité pour contrer les outils d’IA. Des correctifs ont été intégrés dans les versions iOS 26.5.2 et autres, initialement planifiés pour la version 26.6 de la semaine précédente.
Dans les notes de sécurité concernant ces systèmes, Apple a salué les chercheurs ayant utilisé des outils d’IA comme ceux d’OpenAI et d’Anthropic, qui ont permis de dévoiler plusieurs vulnérabilités. Cela souligne le rôle crucial que jouent ces technologies dans l’écosystème de la cybersécurité.
Parmi les équipes reconnues, Calif.io a déclaré avoir élaboré, en mai, un exploit de corruption de la mémoire du noyau macOS en seulement cinq jours, grâce au modèle Mythos Preview d’Anthropic, soulignant l’efficacité de ces nouvelles approches.
Dans un contexte similaire, The Financial Times a rapporté que GitHub a récemment introduit un système à plusieurs niveaux pour son propre programme de récompenses, afin de réduire les soumissions considérées comme « AI slop » et de différencier celles des chercheurs en sécurité vérifiés.
L’article évoque l’histoire de Bynario, une start-up de cybersécurité composée de sept personnes. Malgré l’utilisation d’outils d’IA récents, cette équipe a vu ses soumissions bloquées après avoir rapporté plusieurs bugs à Apple. En tout, ils avaient signalé cinq vulnérabilités cette année et huit l’année précédente.
En conséquence de ce rapport, Apple a noué un contact avec Bynario pour examiner de près leurs trouvailles, dont une chaîne d’exploit d’élévation de privilèges qui pourrait donner à un attaquant le contrôle complet d’un Mac. Cette collaboration témoigne d’un désir d’amélioration de la sécurité des produits Apple.
Concernant les récents changements dans son programme de récompenses, Apple a indiqué :
« Avec le volume croissant de soumissions de sécurité générées par l’IA, nous avons récemment ajusté le nombre de rapports qu’un chercheur peut avoir ouverts simultanément. »
La société a ajouté que les chercheurs peuvent facilement demander une augmentation de cette limite à tout moment, garantissant ainsi que les rapports critiques atteignent effectivement les équipes de sécurité.