Apple n’échappe pas aux répercussions de l’arrivée de l’intelligence artificielle dans le domaine de la cybersécurité. La Pomme a décidé de limiter le nombre de vulnérabilités que les chercheurs peuvent soumettre à son équipe de sécurité, qui est confrontée depuis plusieurs mois à une déferlante de signalements.
« Face au volume croissant de signalements de sécurité générés par l'IA dans l'ensemble du secteur, nous avons récemment ajusté le nombre de nouveaux rapports qu'un chercheur peut laisser ouverts simultanément », a déclaré au Financial Times Apple, qui a instauré un plafond ainsi qu'un délai de carence de 30 jours.
La possibilité d’utiliser des modèles d’IA pour dénicher des failles a incité de nombreux amateurs à se lancer à l’assaut du programme de bug bounty d’Apple. Celui-ci récompense les découvertes de 5 000 dollars à 2 millions de dollars selon la gravité de la vulnérabilité. Le problème est que la plupart de ces rapports sont infondés : les IA peuvent se tromper et les chercheurs en herbe ne comprennent parfois même pas les résultats qu’elles produisent. Face à cet afflux d’AI slop, les experts d’Apple se retrouvent submergés et ne parviennent plus à examiner tous les dossiers dans de bonnes conditions, alors même qu’ils utilisent eux aussi l’IA pour accélérer leurs analyses.
Bug Bounty : Apple double la mise pour le noyau, mais met le Mac au régime sec
Le phénomène touche l’ensemble du secteur. En début d’année, les responsables de plusieurs projets open source déploraient déjà une énorme vague de rapports de mauvaise qualité qui leur faisait perdre un temps considérable. Pour y mettre fin, le créateur de l’indispensable cURL a pris une décision radicale : supprimer purement et simplement son programme de bug bounty.
Des projets open source saturés par des (mauvaises) contributions générées par IA
Mais les découvertes assistées par l’IA ne sont pas toutes à jeter. La start-up italienne Bynario a indiqué au Financial Times avoir utilisé ChatGPT pour identifier plus de 50 failles dans la dernière version de macOS en seulement trois semaines. Parmi elles en figurait une critique, susceptible de donner à l’attaquant le contrôle total d’un Mac. La jeune pousse n’a toutefois pas pu la signaler à la firme de Cupertino, car elle avait déjà atteint la limite de rapports autorisés.
Apple, récemment épinglée pour avoir tardé à corriger une anomalie du service « Masquer mon adresse e-mail », a indiqué qu’elle était désormais en contact avec Bynario et qu’elle examinait ses éléments. La société assure par ailleurs que les chercheurs peuvent facilement demander une augmentation de la limite afin de partager leurs dernières découvertes vraiment critiques.
