Apple、AIの急増を受けて脆弱性の報告を制限

火星財經の報道によると、8月2日、フィナンシャル・タイムズは、Appleが多数の研究者がAIモデルを用いてソフトウェアの脆弱性を検出しているため、内部セキュリティチームへの報告が急増し、6月に研究者が同時に提出できる脆弱性の数を制限し、30日間の冷却期間を設けたと報じた。Appleは、一部のAI生成報告書が仮想的なセキュリティリスクを捏造しており、審査システムに負荷をかけていると説明している。イタリアのサイバーセキュリティスタートアップ企業Bynarioは、OpenAIのChatGPTを使用して、最新版MacBookのオペレーティングシステムで50以上の脆弱性を3週間以内に発見したと述べ、その中には権限昇格攻撃チェーンが含まれており、攻撃者がこれを利用してAppleコンピュータの完全なシステム制御を取得できる可能性がある。しかし、Appleが報告数を制限したため、同社は一時的にこれらの脆弱性を提出できなかった。Appleは、現在Bynarioと連絡を取り、審査を開始したと述べている。Appleは、すべてのセキュリティ報告書が依然として人間による確認を必要としており、同時に増加する報告書を分類するために内部でAIを活用していると説明。研究者は、重大な脆弱性がセキュリティチームに確実に届くよう、提出枠の増額を申請できる。Bynarioは、同社が発見した権限昇格脆弱性がネット犯罪マーケット上で10万～20万ドルの価値を持つ可能性があると推定している。Appleは昨年、自社ソフトウェアにおける最も深刻で複雑な脅威カテゴリを発見した場合、最高500万ドルの報奨金を支払う新たな脆弱性報奨制度を導入した。今週Appleが公開したシステムセキュリティ更新では、AnthropicおよびOpenAIのツールが複数のデバイス脆弱性の発見に協力したことが明らかになり、今回の修正数は従来の更新サイクルの約5倍に達している。セキュリティ企業Sophosは、AIが真の脆弱性の発見効率を高めると同時に低品質な報告書を大量に生成しており、脆弱性報奨プログラムの課題は「脆弱性の発見」から「迅速な検証・優先順位付け・対応」へと移行していると指摘している。