Apple обмежує подання вразливостей на тлі зростання, спричиненого ШІ

Марс Фінанс повідомляє, що 2 серпня, за даними Financial Times, Apple обмежила кількість вразливостей, які дослідники можуть подавати одночасно, та ввела 30-денну перерву, оскільки кількість звітів від внутрішньої команди безпеки різко зросла через масове використання дослідниками моделей ШІ для пошуку вразливостей програмного забезпечення. Apple зазначила, що деякі звіти, згенеровані ШІ, фальсифікують безпекові ризики, що створює навантаження на систему перевірки. Італійська кібербезпечна стартап-компанія Bynario заявила, що за допомогою ChatGPT від OpenAI вона виявила понад 50 вразливостей у найновішій версії операційної системи MacBook, включаючи ланцюжок атаки підвищення прав, який дозволяє зловмисникам отримати повний контроль над комп’ютерами Apple. Однак через обмеження Apple на кількість звітів компанія тимчасово не змогла подати ці вразливості. Apple заявила, що вже зв’язалася з Bynario і розпочала перевірку. Apple підкреслила, що кожен звіт про безпеку все ще потребує ручного підтвердження, а компанія також використовує ШІ для класифікації зростаючої кількості звітів. Дослідники можуть подати запит на підвищення ліміту подачі, щоб забезпечити доставку серйозних вразливостей команді безпеки. Bynario оцінює, що виявлені ними вразливості підвищення прав можуть мати ціну від 100 000 до 200 000 доларів США на чорному ринку кіберзлочинності. У минулому році Apple запровадила нову систему нагород за виявлення вразливостей, де за виявлення найсерйозніших і найскладніших категорій загроз може бути виплачено до 5 мільйонів доларів США. У системних оновленнях безпеки, опублікованих Apple на цьому тижні, також зазначено, що інструменти Anthropic та OpenAI допомогли виявити кілька вразливостей пристроїв — кількість виправлень у цьому циклі становить приблизно в п’ять разів більше, ніж у попередніх оновленнях. Компанія Sophos зазначила, що ШІ одночасно підвищує ефективність виявлення реальних вразливостей та створює велику кількість низькоякісних звітів, і основна складність програм нагород за вразливості тепер полягає не у виявленні вразливостей, а у швидкому підтвердженні, ранжуванні та реагуванні на них.