Apple a instauré une limite sur le nombre de rapports de bugs qu’un chercheur en sécurité peut envoyer dans le cadre de son programme Apple Security Bounty. D’après le Financial Times, cette décision répond à un afflux de signalements de qualité inégale, dont certains ont été générés avec des outils d’intelligence artificielle et décrivent parfois des vulnérabilités inexistantes.
Un plafond renouvelé tous les 30 jours
Le quota de soumissions est réinitialisé tous les trente jours. Lorsqu’un chercheur doit transmettre davantage de découvertes, il peut demander une extension : Apple l’examine alors manuellement, rapporte le Financial Times.
Chaque rapport doit être vérifié pour déterminer si le problème est réel, exploitable et inédit. Cette étape est d’autant plus importante que des personnes ne disposant pas toujours des compétences nécessaires pour confirmer techniquement une faille peuvent désormais soumettre des rapports assistés par IA. Les récompenses du programme Apple Security Bounty peuvent atteindre 5 millions de dollars pour les vulnérabilités les plus sensibles.
Le cas d’une faille macOS signalée par Bynario
Le Financial Times cite Bynario, une jeune entreprise italienne qui affirme avoir utilisé ChatGPT pour repérer plus de 50 bugs dans macOS en trois semaines. Parmi eux, Bynario dit avoir identifié une vulnérabilité d’élévation de privilèges.
Dans ce type de scénario, un attaquant pourrait obtenir un accès étendu au système et prendre le contrôle complet d’un Mac. Bynario explique avoir atteint son quota de signalements avant de pouvoir transmettre immédiatement cette découverte à Apple. Selon le Financial Times, le nouveau dispositif a temporairement retardé l’envoi de certaines failles critiques.
Ce que ça change pour les utilisateurs de Mac
Pour les utilisateurs, l’enjeu est la rapidité avec laquelle une faille sérieuse arrive aux équipes d’Apple, puis peut être corrigée. Réduire le volume de rapports peu fiables peut aider à concentrer l’examen sur les alertes crédibles, mais un plafond peut aussi ralentir la remontée de plusieurs problèmes réels découverts par un même chercheur.
L’IA peut accélérer la recherche de vulnérabilités, sans remplacer la validation humaine. La capacité d’Apple à prioriser les signalements les plus solides reste donc déterminante pour que les correctifs de sécurité atteignent rapidement les Mac concernés.
À lire aussi
Source : Financial Times — enquête sur les soumissions de bugs Apple et Bynario