- Η Apple επιβάλλει αυστηρό πλαφόν και 30ήμερη περίοδο αναμονής στις υποβολές του Apple Security Bounty.
- Αιτία η πλημμύρα ψευδών ή επιφανειακών αναφορών ασφαλείας που παράγονται μαζικά από εργαλεία τεχνητής νοημοσύνης.
- Ερευνητές, όπως η ιταλική ομάδα Bynario, αποκλείστηκαν προσωρινά παρά τον εντοπισμό κρίσιμων κενών ασφαλείας.
Η φούσκα των AI bug reports
Όταν δίνεις σε ένα γλωσσικό μοντέλο τη δυνατότητα να σκανάρει κώδικα, το αποτέλεσμα είναι μια αστείρευτη ροή από θεωρητικές ευπάθειες. Σύμφωνα με το ρεπορτάζ των The Financial Times, η Apple αναγκάστηκε να βάλει φρένο στην πύλη υποβολών της επειδή οι ομάδες ασφαλείας και οι ευκαιριακοί “κυνηγοί επάθλων” κατέκλυσαν το σύστημα με αυτοματοποιημένα, χαμηλςς ποιότητας reports.
Η ευκολία χρήσης εργαλείων όπως το ChatGPT μετέτρεψε το bug hunting σε βιομηχανία μαζικής παραγωγής. Τα Apple Security Bounty προγράμματα προσφέρουν αμοιβές έως και 5 εκατομμύρια δολάρια, ποσό αρκετά δελεαστικό για να προκαλέσει επιδρομή από scripts που παράγουν χιλιάδες ψευδώς θετικές αναφορές την ημέρα.
Το πρόβλημα δεν αφορά μόνο την Apple, καθώς ολόκληρος ο κλάδος αντιμετωπίζει συμφόρηση. Οι μηχανικοί ασφαλείας των τεχνολογικών κολοσσών περνούν πλέον περισσότερες ώρες φιλτράροντας τα hallucinations της τεχνητής νοημοσύνης παρά διορθώνοντας πραγματικά zero-day exploits.
Για να αντιμετωπιστεί αυτό, η εταιρεία εισήγαγε πλαφόν στις ταυτόχρονα ανοιχτές αναφορές και υποχρεωτική 30ήμερη περίοδο αναμονής. Η κίνηση αυτής της μορφής προστατεύει τους servers και τους ανθρώπους της, αλλά αλλάζει εντελώς τους κανόνες του παιχνιδιού για τους επαγγελματίες του χώρου.
Ο αντίκτυπος στους legitimate ερευνητές
Το μεγαλύτερο θύμα αυτής της πολιτικής είναι η ίδια η διαφάνεια της ασφάλειας. Η ιταλική ερευνητική ομάδα Bynario βρέθηκε αποκλεισμένη από το σύστημα επειδή έφτασε το όριο υποβολών της, την ίδια στιγμή που είχε εντοπίσει 50 κρίσιμα σφάλματα στο macOS 27.
Ανάμεσα σε αυτά τα σφάλματα υπήρχε κενό ασφαλείας που επέτρεπε την πλήρη απομακρυσμένη εκτέλεση κώδικα και τον έλεγχο του συστήματος. Επειδή όμως η Bynario είχε ήδη εξαντλήσει το όριο των αναφορών της για το έτος, η κρίσιμη αυτή πληροφορία κινδύνεψε να μείνει εκτός του επίσημου κύκλου επιδιόρθωσης.
Παρότι η εταιρεία επικοινώνησε τελικά μαζί τους και ξεκίνησε την αξιολόγηση, το περιστατικό αποκαλύπτει μια σκοτεινή πλευρά. Όταν τα αυτοματοποιημένα φίλτρα μπαίνουν μπροστά για να προστατεύσουν μια πλατφόρμα, συχνά τιμωρούν τους πιο σοβαρούς και αποτελεσματικούς ερευνητές.
Εσύ ως ανεξάρτητος ερευνητής πλέον δεν μπορείς απλώς να ανεβάζεις ό,τι βρίσκεις. Χρειάζεται στρατηγική επιλογή, ομαδοποίηση των ευρημάτων και συχνά αιτήσεις εξαίρεσης για να καταφέρεις να ακουστείς.
Η άποψή μας στο TechNoid
Στο TechNoid πιστεύουμε ότι η Apple έπραξε το αυτονόητο, αλλά το έκανε με λάθος τρόπο στα αντανακλαστικά της. Η μαζική παραγωγή σκουπιδιών από τα LLMs δεν μπορεί να αντιμετωπιστεί με τυφλά ποσοτικά πλαφόν που στραγγαλίζουν τους σοβαρούς ερευνητές όπως η Bynario. Αντί για οριζόντιες απαγορεύσεις και 30ήμερες ποινές αναμονής, οι εταιρείες οφείλουν να επενδύσουν σε εξελιγμένα φίλτρα προ-ελέγχου που αναγνωρίζουν την υπογραφή της ανθρώπινης έρευνας. Το κυνήγι bugs δεν είναι πορτ-φολιό για likes στο GitHub, και οι πλατφόρμες πρέπει να προστατεύσουν το οικοσύστημά τους χωρίς να γίνονται εχθρικές προς όσους τις κρατούν ασφαλείς.
Συχνές Ερωτήσεις για τους περιορισμούς στο Apple Security Bounty
Γιατί η Apple επέβαλε περιορισμούς στο Security Bounty;
Η απόφαση ελήφθη εξαιτίας της τεράστιας πληθώρας αναφορών χαμηλής ποιότητας που παράγονται μαζικά από εργαλεία τεχνητής νοημοσύνης.
Ποιο είναι το νέο όριο υποβολών;
Ο ακριβής αριθμητικός αριθμός δεν έχει δημοσιοποιηθεί επίσημα, αλλά συνοδεύεται από υποχρεωτική περίοδο αναμονής 30 ημερών ανάμεσα στις υποβολές.
Μπορεί ένας ερευνητής να ζητήσει αύξηση του ορίου του;
Ναι, οι ερευνητές διατηρούν το δικαίωμα να αιτηθούν εξαιρέσεις και αύξηση του ορίου τους εφόσον διαθέτουν κρίσιμα και επαληθευμένα ζητήματα ασφαλείας.
Πώς επηρεάζονται οι ανεξάρτητες ερευνητικές ομάδες;
Ομάδες όπως η Bynario κινδυνεύουν να αποκλειστούν προσωρινά από την υποβολή σοβαρών σφαλμάτων εάν φτάσουν το ετήσιο πλαφόν τους.
Τι αμοιβές δίνει το Apple Security Bounty;
Τα ποσά φτάνουν έως και τα 5 εκατομμύρια δολάρια, ανάλογα με τη σοβαρότητα και την κρισιμότητα της ευπάθειας που εντοπίζεται.
Είναι το πρόβλημα αποκλειστικότητα της Apple;
Όχι, ολόκληρος ο τεχνολογικός κλάδος αντιμετωπίζει συμφόρηση στις πλατφόρμες bug bounty λόγω της αλόγιστης χρήσης AI από τους χρήστες.
Τι πρέπει να κάνουν οι ερευνητές για να αποφύγουν τον αποκλεισμό;
Χρειάζεται να επιλέγουν προσεκτικά τις αναφορές τους, δίνοντας προτεραιότητα στα κρίσιμα exploits και αποφεύγοντας τον αυτοματισμό χαμηλής αξίας.
