Le Financial Times rapporte qu’Apple a restreint le nombre de rapports de bugs de sécurité que les chercheurs peuvent soumettre via son portail interne. Cette décision répond à un afflux massif de soumissions, souvent de qualité médiocre et qualifiées de slop IA, générées par des outils d’IA qui peuvent parfois halluciner des risques inexistants.
Une restriction devenue nécessaire
Le groupe de Cupertino fait face à un phénomène qui touche toute l’industrie avec les modèles d’IA générative. Cela se traduit par un déluge de rapports qui submerge les équipes chargées de les examiner.
Chaque faille potentielle, même si elle est spéculative, nécessite une vérification humaine pour être confirmée, même si Apple utilise également l’IA en interne pour aider au tri.
Afin de gérer ce volume, Apple a donc introduit un plafond et un délai de réflexion de 30 jours pour les soumissions. Les chercheurs peuvent néanmoins facilement demander une augmentation de la limite à tout moment pour s’assurer que les rapports critiques parviennent aux équipes de sécurité.
Des failles que l’IA a permis de révéler
La start-up italienne Bynario a déclaré avoir utilisé ChatGPT pour identifier plus de 50 bugs de sécurité potentiels dans la dernière version de macOS en seulement trois semaines.
Parmi eux se trouvait une chaîne d’exploitation par élévation de privilèges, capable de donner à un attaquant le contrôle total d’un ordinateur Mac. Cependant, Bynario n’a pas pu signaler immédiatement cette découverte en raison des nouvelles limitations.
Des chercheurs de Calif.io ont aussi utilisé le modèle Mythos d’Anthropic pour contourner la fonctionnalité Memory Integrity Enforcement d’Apple, considérée comme une avancée majeure en matière de sécurité.
Un double impact de l’IA sur la chasse aux bugs
D’un côté, l’IA permet à des amateurs de soumettre des rapports en masse, de l’autre, elle aide les chercheurs qualifiés à trouver plus rapidement des failles dangereuses. Trouver des vulnérabilités n’est peut-être plus le défi. Il faut aller très vite dans la validation et la hiérarchisation.