Apple Memperkenalkan Periode Pendinginan 30 Hari untuk Submisi Bug Bounty di Tengah Gelombang yang Didorong AI

Apple menghadapi masalah banjir laporan bug karena AI secara signifikan menurunkan ambang batas penemuan kerentanan. Pada Oktober 2025, Apple meningkatkan hadiah bug menjadi $5 juta, tetapi alat AI memungkinkan peneliti amatir untuk memindai kode secara massal dan mengirimkan sejumlah besar kerentanan palsu yang mengandung ilusi AI. Pada 2 Agustus, Apple menerapkan batas jumlah dan periode pendinginan 30 hari untuk mengatasi hal ini. Selain itu, fitur keamanan memori MIE yang dikembangkan Apple selama lima tahun berhasil dilanggar oleh perusahaan keamanan Calif dalam waktu lima hari menggunakan model Claude, membentuk rantai peningkatan izin lengkap. Jumlah pendaftaran CVE pada 2026 diperkirakan mencapai 66.000, 46% lebih tinggi dari perkiraan awal. Google, Nextcloud, GitHub, dan lainnya telah mengambil langkah untuk membatasi laporan kerentanan yang dihasilkan AI. Pada 27 Juli, Apple merilis pembaruan keamanan macOS Tahoe 26.6 yang memperbaiki 194 kerentanan, dan untuk pertama kalinya secara resmi mengucapkan terima kasih kepada alat AI seperti Anthropic Claude dan OpenAI Codex Security.

Penulis artikel, sumber: Akun WeChat "Quantum Bit"

Apple dipaksa untuk menetapkan "periode pendinginan pengiriman bug".

Apple akhirnya tidak tahan lagi, dan menetapkan masa pendinginan untuk program hadiah bug-nya.

Segera, terlalu banyak bug yang tidak bisa ditinjau, apa yang harus dilakukan... haha, sudahlah! Tidak usah dilihat lagi😈.

Program hadiah bug, yang diusulkan sejak 2016, awalnya bertujuan untuk mengundang peneliti keamanan untuk melaporkan kerentanan keamanan dalam perangkat lunak, perangkat keras, dan layanan Apple, yang setelah diverifikasi secara manual sebagai valid akan menerima hadiah uang tunai.

Selanjutnya, hadiah terus meningkat, pada Oktober 2025, Apple mengumumkan peningkatan besar dalam program bounty: peneliti yang menemukan ancaman paling serius dan paling kompleks dapat memperoleh $5 juta (sekitar Rp33,75 juta).

Namun saat ini, AI secara signifikan menurunkan ambang batas untuk mencari kerentanan, dengan sejumlah besar pemula menggunakan ChatGPT untuk memindai kode secara massal dan mengirimkan laporan secara massal, yang mencakup banyak kerentanan palsu hasil ilusi AI.

Ini membuat seluruh tim keamanan Apple benar-benar kewalahan.

Pada 2 Agustus, Apple telah menetapkan batas jumlah dan periode pendinginan 30 hari untuk pengiriman kerentanan di portal keamanan internalnya.

Pada September 2025, Apple mengumumkan fitur keamanan bernama "Memory Integrity Execution" (MIE) secara bersamaan di acara peluncuran iPhone 17.

Teknologi ini memakan waktu lima tahun untuk dikembangkan, mengintegrasikan secara mendalam kemampuan perangkat keras chip buatan Apple dengan sistem operasi untuk memberikan perlindungan keamanan memori ekstrem pada perangkat.

Apple menyebut fitur ini sebagai:

Consumption-grade operating system memory security in historythe most significantupgrade ever.

Diagram prinsip teknologi MIE: Bagaimana MIE mencegah serangan memori

Namun delapan bulan kemudian, industri keamanan siber mengalami guncangan kesadaran kolektif.

Pada Mei 2026, perusahaan penelitian keamanan Calif mengungkapkan eksploitasi pertama yang terbuka untuk macOS pada chip Apple M5. Karyawan mereka memanfaatkan model Mythos Preview dari Claude untuk menggabungkan dua kerentanan macOS menjadi rantai peningkatan izin lokal yang lengkap, melewati perlindungan MIE.

Dan tim tersebut (hanya 3 orang) hanya membutuhkan 5 hari untuk berpindah dari “Kami menemukan sesuatu yang menarik” ke “Kami mendapatkan root shell yang berfungsi di perangkat konsumen paling aman Apple.”

Kerentanan yang serius ini akhirnya membuat dua peneliti dari Calif mengendarai mobil langsung ke kantor pusat Apple untuk menyerahkan laporan 55 halaman secara langsung, agar tidak tenggelam di antara banyak laporan lainnya.

Mythos Preview, dirilis oleh Claude pada April tahun ini. Secara resmi diklaim telah mencapai terobosan kuantum dalam keamanan dan pemrograman, serta secara mandiri menemukan ribuan kerentanan kritis di setiap sistem operasi utama dan browser web utama. Namun, karena kemampuan "serangan model terlalu kuat dan publikasi dapat menyebabkan bencana besar", API hanya dibuka untuk 40 mitra kunci.

Teknologi AI yang berkembang secepat ini sedang mengguncang seluruh sistem pengungkapan kerentanan.

Diprediksi, jumlah pendaftaran CVE (daftar kerentanan keamanan siber yang diungkapkan secara publik) pada tahun 2026 akan mencapai 66.000, meningkat 46% dari perkiraan awal.

Namun, seperti yang ditemukan oleh Apple, laporan kerentanan yang dihasilkan oleh AI mengandung banyak noise dan ilusi AI. Memeriksa laporan-laporan ini telah menjadi hal yang lebih melelahkan.

Ini juga merupakan titik nyeri dalam seluruh industri keamanan.

Ini adalah periode yang cukup sulit di industri ini, di mana staf pemeliharaan dan pemasok telah dibanjiri oleh banyak bug.

Pendiri Curl menyatakan bahwa ia menerima 20 laporan kerentanan dalam tiga minggu pertama tahun 2026, dan «0 di antaranya adalah kerentanan keamanan nyata». Google mengumumkan pada Maret bahwa mereka tidak lagi menerima laporan kerentanan yang dihasilkan AI; platform cloud open source Nextcloud menghentikan program bounty kerentanan mereka pada April; GitHub mengurangi secara signifikan jumlah hadiah untuk bounty kerentanan publik pada Juli, dan menetapkan saluran VIP yang hanya tersedia untuk peneliti yang diundang.

Kemacetan saluran pengiriman ini telah menghasilkan konsekuensi keamanan nyata, dan dapat menjadikan proses keamanan itu sendiri sebagai masalah keamanan.

Misalnya, perusahaan rintisan keamanan Italia, Bynario, memanfaatkan ChatGPT untuk menemukan lebih dari 50 kerentanan di macOS dalam waktu tiga minggu. Di antaranya termasuk sebuah kerentanan yang memungkinkan kendali penuh terhadap macOS.

Namun, ketika tim mengirimkan kerentanan ini yang “dapat dijual di pasar gelap seharga $100.000 hingga $200.000”, mereka menemukan bahwa Apple telah menutup saluran pengiriman.

Berita baiknya: para pembela juga bisa mendapatkan alat AI yang sama.

Berita buruknya: para pembela harus memastikan seluruh lingkungan TI berjalan lancar, menguji kompatibilitas, mengoordinasikan jendela rilis, dan memastikan pembaruan tidak menyebabkan sistem produksi down. Sementara penyerang? Hanya perlu menemukan satu titik masuk.

Pada 27 Juli 2026, Apple merilis pembaruan keamanan macOS Tahoe 26.6. Dalam pembaruan ini, Apple memperbaiki 194 kerentanan keamanan independen.

Ini juga merupakan pertama kalinya Apple secara resmi mengucapkan terima kasih kepada AI dalam pembaruan keamanan.

Bekerja sama dengan Claude untuk menemukan

Di antaranya, Claude dari Anthropic dan Codex Security dari OpenAI masing-masing menerima penghargaan atas tiga kerentanan, AI Red Team dari NVIDIA menerima dua penghargaan, dan model GLM dari Z.ai menerima satu penghargaan.

(Sementara tiga minggu lalu, Apple sedang mengajukan gugatan terhadap OpenAI di pengadilan karena mencuri rahasia dagang.)

Apple secara terbuka menyatakan bahwa alat AI mempercepat kecepatan rilis pembaruan keamanan kami. Dari data pembaruan keamanan sejak rilis macOS Tahoe, kita dapat melihat tren percepatan ini:

Nama alat AI sudah muncul di versi 26.5; versi kecil tak biasa 26.5.2 menambahkan perbaikan untuk 38 CVE; versi 26.6 yang dirilis sebulan kemudian memecahkan rekor dengan mencapai 155.

Namun, yang tidak dapat dipastikan adalah apakah ritme rilis yang sering ini sendiri akan menjadi variabel keamanan baru?

Setelah semua, Apple dikenal selalu mengendalikan ritme rilis dengan ketat; setiap pembaruan sistem harus melalui pengujian internal, verifikasi kompatibilitas, dan peluncuran bertahap sebelum dikirim ke miliaran perangkat.

Dengan demikian, percepatan rilis bukanlah keputusan yang sembarangan; ini berarti tim keamanan Apple telah memutuskan bahwa menunggu jendela pembaruan rutin berikutnya untuk memperbaiki kerentanan ini telah menjadi risiko yang tidak dapat diterima.

Siklus pengungkapan kerentanan sedang berubah, ketika AI memperpendek siklus penemuan kerentanan menjadi beberapa hari, ritme pembaruan keamanan yang dirilis bulanan mungkin berubah menjadi periode «paparan» yang panjang.