Apple upravilo svůj bug bounty program a nově omezuje počet otevřených bezpečnostních hlášení. Reaguje tím na příval AI generovaných reportů, který zpomaluje zpracování skutečně důležitých chyb.
Apple v programu odměn za chyby zavedlo limit na otevřená hlášení a také 30denní „cool-off“ období. Firma tím reaguje na situaci, kdy do interního bezpečnostního portálu proudí obrovské množství AI generovaných nálezů, které týmům komplikují práci s opravdu závažnými zranitelnostmi.
Aktuální cenu produktu Apple AirPods 4 najdete na Alze.
Apple chce filtrovat AI generované bezpečnostní reporty
Nové nastavení platí od června a podle Applu má omezit zahlcení, které v bezpečnostním světě nastalo s rozvojem velkých jazykových modelů. Ty dnes umí nejen najít slabé místo v systému, ale někdy i poskládat více dílčích problémů do funkčního exploit řetězce. Pro bezpečnostní týmy to znamená víc práce s posuzováním kvality a méně času na samotné opravy.
Apple zároveň neříká, že by AI nástroje byly k ničemu. Naopak v nedávných bezpečnostních aktualizacích firma přiznala, že výzkumníci využívající nástroje od OpenAI, Anthropic, Z.ai a dalších pomohli odhalit několik zranitelností. Problém tedy není samotné použití AI, ale spíš lavina reportů, která přichází bez dostatečné filtrace a brzdí procesy kolem programu odměn.
Změna je důležitá i proto, že bezpečnostní hlášení nejsou jen administrativní formulář. Když se v nich objeví skutečně zásadní chyba, rozhoduje rychlost reakce o tom, jak rychle se dostane oprava do iPhonu, Macu nebo iPadu. Apple proto nově nastavilo strop na počet otevřených případů a po jeho vyčerpání musí výzkumník požádat o navýšení kapacity.
Co to znamená pro výzkumníky i běžné uživatele
V praxi se tím oddělují týmy, které dokážou posílat promyšlené a ověřené nálezy, od těch, které jen zaplavují systém dalším a dalším textem vygenerovaným umělou inteligencí. Apple tím dává najevo, že nechce odměňovat objem, ale skutečnou kvalitu. Pro menší bezpečnostní firmy, jako je například Bynario, to může znamenat nutnost přesněji balit své nálezy a lépe si hlídat, kolik případů mají právě otevřených.
Pro běžné uživatele je podstatné hlavně to, že se Apple snaží udržet bezpečnostní pipeline funkční. Když jsou bezpečnostní týmy zahlcené nesmyslnými nebo polovičatými hlášeními, zpomaluje to i vydávání oprav pro reálné díry v systému. V době, kdy Apple kvůli novým výzkumům už několikrát urychlilo bezpečnostní aktualizace iOS a dalších platforem, jde o snahu neztratit tempo tam, kde jde o ochranu dat a zařízení.
Podobný krok navíc není izolovaný. Jen několik dní předtím zavedl vlastní stupňovaný systém i GitHub, který má omezit AI spam v bug bounty programech a lépe rozlišovat mezi skutečnými výzkumníky a přívalem automaticky generovaných podnětů. Je vidět, že celý obor hledá nový způsob, jak přijmout AI jako pomocníka, ale nenechat si rozbít bezpečnostní procesy.
Pokud vás téma zajímá víc, přečtěte si také Apple sleduje každý váš dotyk v App Storu. Tohle všechno o vás ví a iOS 17.5 obsahuje 15 bezpečnostních oprav, ale jedna způsobuje další chybu.
Podrobnosti přinesl také 9to5mac.
Chcete k tomu něco dodat? Napište krátce proč.