Apple Membatasi Penghantaran Kerentanan Seiring Peningkatan yang Didorong AI

Mars Finance melaporkan, pada 2 Ogos, menurut laporan Financial Times, Apple telah membatasi jumlah kelemahan yang boleh diserahkan secara serentak oleh penyelidik, serta mengenakan tempoh sejuk 30 hari, pada Jun, selepas tim keselamatan dalaman menerima peningkatan besar dalam laporan akibat penggunaan besar-besaran model AI oleh penyelidik untuk mencari kelemahan perisian. Apple menyatakan bahawa sebahagian laporan yang dihasilkan AI mencipta risiko keselamatan fiktif, menyebabkan tekanan kepada sistem pengesahan. Syarikat permulaan keselamatan siber Itali, Bynario, menyatakan bahawa ia menggunakan ChatGPT milik OpenAI dan berjaya menemui lebih daripada 50 kelemahan dalam sistem operasi MacBook versi terkini dalam masa tiga minggu, termasuk satu rantai serangan peningkatan kebenaran yang membolehkan penyerang memperoleh kuasa penuh atas komputer Apple. Namun, kerana batasan Apple terhadap jumlah laporan, syarikat itu pernah tidak mampu menghantar kelemahan tersebut. Apple menyatakan bahawa ia telah berhubung dengan Bynario dan bermula proses pengesahan. Apple menegaskan bahawa setiap laporan keselamatan masih memerlukan pengesahan manual, sambil menggunakan AI secara dalaman untuk mengklasifikasikan laporan yang meningkat. Penyelidik boleh memohon peningkatan kuota penghantaran untuk memastikan kelemahan serius sampai kepada tim keselamatan. Bynario menganggarkan bahawa nilai kelemahan peningkatan kebenaran yang ditemui di pasaran gelap kejenayah siber mungkin mencapai antara US$100,000 hingga US$200,000. Apple melancarkan mekanisme ganjaran kelemahan baru pada tahun lepas, yang menawarkan ganjaran sehingga US$5 juta untuk menemui ancaman paling serius dan paling kompleks dalam perisian mereka. Pembaruan keselamatan sistem yang dikeluarkan Apple minggu ini juga mengungkap bahawa alat-alat dari Anthropic dan OpenAI membantu menemui beberapa kelemahan peranti, dengan jumlah pembaikan kali ini kira-kira lima kali ganda berbanding kitaran pembaruan sebelumnya. Syarikat keselamatan Sophos menyatakan bahawa AI sedang meningkatkan kecekapan penemuan kelemahan sebenar sambil menghasilkan banyak laporan berkualiti rendah, dan cabaran utama dalam program ganjaran kelemahan kini berpindah dari “menemui kelemahan” kepada pengesahan, pengurutan, dan respons pantas.