Apple reagiert auf eine Zunahme KI-unterstützter Schwachstellenmeldungen und hat sein Bug-Bounty-Programm angepasst. Ziel ist es, die Flut an Berichten besser zu steuern und sicherheitsrelevante Funde weiterhin zügig prüfen zu können.
Neues Limit und 30-tägige Sperrfrist für Meldungen
Gegenüber der Financial Times hat Apple bestätigt, dass das Unternehmen eine Obergrenze für offene Sicherheitsmeldungen eingeführt hat. Zusätzlich gilt eine 30-tägige Cooldown-Periode für Einreichungen über das interne Security-Portal. Wer mehr offene Berichte benötigt, muss künftig eine Erhöhung des eigenen Kontingents beantragen.
Die im Juni umgesetzten Änderungen sollen einer branchenweiten Entwicklung begegnen: Immer leistungsfähigere Large Language Models (LLMs) unterstützen Sicherheitsforschende dabei, Schwachstellen zu finden, zu kombinieren und auszunutzen. Die Zahl der gemeldeten Bugs steigt dadurch stark an, während die Teams, die diese Berichte prüfen, mit dem Volumen Schritt halten müssen.
Beschleunigte Updates und KI-Tools als Helfer
Erst vor wenigen Wochen hatte Apple angekündigt, Sicherheitsupdates schneller auszuliefern, um auf neue, KI-gestützte Angriffsformen zu reagieren. So wurden Fixes in iOS 26.5.2 und den entsprechenden Systemen bereits vorgezogen, obwohl sie ursprünglich für die Version 26.6 in der darauffolgenden Woche geplant waren.
In den Sicherheitsnotizen zu diesen Updates nennt Apple explizit Forschende, die bei der Entdeckung von Schwachstellen KI-Werkzeuge eingesetzt haben. Genannt werden dabei unter anderem Tools und Modelle von OpenAI, Anthropic und Z.ai.
Zu den Teams, die in den jüngsten Sicherheitsupdates erwähnt werden, gehört auch Calif.io. Das Unternehmen hatte im Mai erklärt, mit Hilfe des Modells Mythos Preview von Anthropic innerhalb von fünf Tagen einen funktionierenden Speicherfehler-Exploit für den macOS-Kernel auf M5-Silizium entwickelt zu haben.
Der Bericht der Financial Times erscheint kurz nachdem GitHub eine gestufte Struktur für sein eigenes Bug-Bounty-Programm eingeführt hat. Damit sollen KI-generierte, wenig hilfreiche Meldungen („AI slop“) begrenzt und Beiträge verifizierter Security-Forschender besser eingeordnet werden.
Fall Bynario und Apples Stellungnahme
Die Financial Times schildert am Beispiel des Cybersecurity-Start-ups Bynario, wie sich die Änderungen konkret auswirken können. Das siebenköpfige Team nutzt aktuelle KI-Tools und -Modelle, um Schwachstellen aufzuspüren. In diesem Jahr meldete Bynario fünf Bugs an Apple, im vergangenen Jahr waren es acht – eine der gemeldeten Lücken wurde im November per Software-Update geschlossen. Nach den jüngsten Anpassungen im Programm wurden weitere Einreichungen des Start-ups jedoch blockiert.
Als Reaktion auf die Recherchen der Financial Times steht Apple nun mit Bynario in Kontakt und prüft die vorgelegten Funde erneut. Dazu gehört auch eine Exploit-Kette zur Privilegienerweiterung, mit der Angreifende potenziell die vollständige Kontrolle über einen Mac erlangen könnten.
In einer Stellungnahme zu den Änderungen am Bug-Bounty-Programm erklärte Apple gegenüber der Zeitung, man habe angesichts des wachsenden Volumens KI-generierter Sicherheitsmeldungen branchenweit die Zahl der neuen Berichte begrenzt, die eine forschende Person gleichzeitig offen haben kann. Forschende könnten jedoch jederzeit unkompliziert eine Erhöhung dieses Limits beantragen, damit kritische Meldungen weiterhin bei den Security-Teams ankommen.
Den vollständigen Bericht der Financial Times könnt Ihr unter diesem Link nachlesen.
Hinweis: Dieser Beitrag ist eine automatisch erstellte Zusammenfassung mithilfe von Künstlicher Intelligenz. Eine redaktionelle Prüfung fand nicht statt.
Via: 9to5mac.com
