Bug bounty Apple zalewany przez AI. Prawdziwa luka bez zgłoszenia

Sztuczna inteligencja stała się nowym zagrożeniem dla cyberbezpieczeństwa, ale nie w sposób, który większość z nas sobie wyobraża. Apple musiało ograniczyć liczbę zgłoszeń od badaczy bezpieczeństwa, ponieważ system recenzji został zablokowany przez powódź niskiej jakości raportów tworzonych przez AI. Te automatycznie generowane zgłoszenia zawierają halucynacje na temat nieistniejących podatności, co paradoksalnie tworzy realne luki w zabezpieczeniach.

Sprawa wyszła na jaw dzięki włoskiej firmie Bynario, która natknęła się na poważny problem w macOS. Używając ChatGPT, zespół odkrył podatność dającą atakującym pełną kontrolę nad komputerem. Niestety, nie mogli jej zgłosić – Apple zablokował kolejne subskrypcje ze względu na przeciążenie systemu.

Jak AI-generowane raporty zaszkodziły systemowi zgłoszeń

Programy bug bounty miały być skutecznym mechanizmem wychwytywania błędów przez społeczność badaczy. W praktyce okazało się, że narzędzia AI potrafią generować tysiące raportów o podatnościach, które w rzeczywistości nie istnieją. System Apple, zamiast skupiać się na prawdziwych zagrożeniach, musi teraz filtrować śmieciowe zgłoszenia.

Rafe Pilling z firmy Sophos w rozmowie z Financial Times zwrócił uwagę na istotną zmianę. Jego zdaniem programy bug bounty ewoluowały z narzędzia do znajdowania podatności w mechanizm ich weryfikacji „z szybkością maszyny”. To fundamentalne przesunięcie w sposobie działania całego ekosystemu bezpieczeństwa.

Prawdziwa luka warta fortune, której nie można było zgłosić

Firma Bynario znalazła się w wyjątkowo niekomfortowej sytuacji. Z jednej strony odkryła poważną podatność w systemie macOS, która mogła dać cyberprzestępcom pełną kontrolę nad urządzeniami. Z drugiej – nie miała możliwości przekazania tych informacji producentowi, ponieważ Apple zablokował dalsze zgłoszenia.

Alfredo Pesoli, dyrektor generalny Bynario, oszacował wartość tej luki na czarnym rynku na kwotę od 100 do 200 tysięcy dolarów. To pokazuje, jak cenne mogą być informacje o realnych podatnościach – i jak kosztowne w skutkach bywa ich ignorowanie. Na szczęście Apple ostatecznie skontaktował się z włoską firmą w tej sprawie.

Paradoks: Apple sam używa AI do polowania na błędy

Sytuacja nabiera dodatkowej ironii, gdy spojrzymy na działania samego Apple. Firma z Cupertino korzysta z modeli AI od Anthropic i OpenAI do poszukiwania podatności we własnych systemach. Najnowsze aktualizacje zawierały aż pięciokrotnie więcej poprawek niż zwykle, co może sugerować, że te narzędzia faktycznie działają.

To stawia pytanie o przyszłość programów bug bounty. Czy społecznościowe zgłaszanie błędów ma jeszcze sens w świecie, gdzie maszyny potrafią generować zarówno fałszywe alarmy, jak i znajdować prawdziwe problemy? A może wielkie firmy technologiczne przejmą wykrywanie podatności całkowicie na własną rękę, korzystając z zaawansowanych narzędzi AI?

Odpowiedź nie jest oczywista. Z jednej strony zautomatyzowane systemy potrafią przeszukiwać kod szybciej niż ludzie. Z drugiej – ludzka kreatywność i kontekstowe myślenie wciąż bywają nieocenione przy znajdowaniu nietypowych podatności. Być może przyszłością będą hybrydowe modele, łączące możliwości AI z wiedzą i doświadczeniem społeczności badaczy.

Jedno jest pewne: obecny system wymaga przemyślenia. Jeśli Apple nie wypracuje skutecznych metod filtrowania AI-generowanych zgłoszeń, kolejne prawdziwe luki mogą pozostać niezgłoszone – a to ryzyko, na które żadna firma technologiczna nie powinna sobie pozwolić.

Źródło

Może Cię zainteresować