Apple cherche à mieux filtrer les rapports de bugs et de vulnérabilités reçus dans le cadre de son programme Apple Security Bounty. Selon le Financial Times, l’entreprise fait face à un volume important de soumissions de mauvaise qualité, notamment des rapports produits avec l’aide d’outils d’intelligence artificielle qui décrivent parfois des failles inexistantes.
Le problème ne touche pas seulement les chercheurs expérimentés : des personnes moins capables de vérifier techniquement leurs découvertes envoient aussi des signalements générés par IA. Or, chaque rapport doit être examiné pour déterminer s’il s’agit d’un bug réel, exploitable et déjà connu ou non. Les récompenses du programme Apple Security Bounty peuvent atteindre 5 millions de dollars pour les découvertes les plus sensibles.
Un quota renouvelé tous les trente jours
Apple a indiqué au Financial Times avoir mis en place une limite au nombre de rapports qu’un chercheur peut soumettre. Ce quota est renouvelé tous les trente jours. Les personnes qui ont besoin d’envoyer davantage de signalements peuvent demander une extension, examinée manuellement par Apple.
Cette restriction a toutefois eu un effet indésirable temporaire : elle a retardé l’envoi de certaines failles critiques. Le Financial Times cite notamment Bynario, une start-up italienne qui dit avoir utilisé ChatGPT pour repérer plus de 50 bugs dans macOS en trois semaines.
Bynario affirme avoir trouvé une faille d’élévation de privilèges
Parmi les vulnérabilités repérées par Bynario figurerait une faille d’élévation de privilèges, décrite comme l’une des plus graves. Dans ce scénario, un attaquant pourrait obtenir un accès illimité au système et prendre le contrôle complet d’un Mac. Bynario a expliqué ne pas avoir pu transmettre immédiatement ce signalement à Apple, son quota de rapports ayant été atteint.
Le cas illustre la difficulté de distinguer rapidement les découvertes pertinentes du bruit généré par des rapports automatisés ou insuffisamment vérifiés.
Ce que ça change
Pour les utilisateurs de Mac, l’enjeu est surtout la vitesse à laquelle une vulnérabilité sérieuse peut parvenir aux équipes de sécurité d’Apple puis être corrigée. Un quota réduit les rapports erronés à traiter, mais il peut aussi freiner un chercheur ayant découvert plusieurs bugs réels.
L’IA accélère la recherche de failles, tant chez Apple que chez les chercheurs, sans remplacer la validation humaine. La capacité d’Apple à prioriser les signalements crédibles devient donc déterminante pour que les correctifs de sécurité arrivent rapidement sur les appareils concernés.
À lire aussi
Source : Financial Times — enquête sur les soumissions de bugs Apple et Bynario
Rédigé avec l'assistance d'outils d'IA, vérifié et validé par la rédaction.