Apple a instauré un quota de rapports de vulnérabilités pour les chercheurs participant à l’Apple Security Bounty, rapporte le Financial Times. La décision répond à l’augmentation des soumissions de mauvaise qualité, dont certaines sont générées ou rédigées avec l’aide d’outils d’intelligence artificielle et décrivent des failles qui n’existent pas.
Le programme Apple Security Bounty récompense les chercheurs qui identifient des vulnérabilités affectant les produits et services de la marque. Les découvertes les plus sensibles peuvent donner droit à une récompense allant jusqu’à 5 millions de dollars. Chaque signalement doit toutefois être contrôlé par les équipes d’Apple afin de vérifier la réalité du bug, son caractère exploitable et son éventuelle connaissance préalable par l’entreprise.
Un quota renouvelé tous les 30 jours
D’après le Financial Times, le plafond de soumissions est renouvelé tous les trente jours. Un chercheur qui doit transmettre davantage de rapports peut demander une extension : Apple l’examine alors manuellement.
Ce filtrage vise notamment les rapports automatisés ou insuffisamment vérifiés. L’IA permet à davantage de personnes de chercher des vulnérabilités, mais elle peut aussi multiplier les alertes trompeuses. Pour Apple, l’enjeu est donc de ne pas consacrer ses équipes de sécurité à examiner trop longtemps des signalements sans impact réel.
Bynario dit avoir été bloqué par la limite
Le quotidien cite Bynario, une start-up italienne qui affirme avoir utilisé ChatGPT pour repérer plus de 50 bugs dans macOS en trois semaines. Parmi eux figurerait une vulnérabilité d’élévation de privilèges, un type de faille pouvant permettre à un attaquant d’obtenir un contrôle étendu d’un Mac.
Bynario indique ne pas avoir pu envoyer immédiatement ce signalement à Apple, son quota ayant déjà été atteint. Selon le Financial Times, la restriction a temporairement retardé la transmission de certaines failles critiques.
Ce que ça change
Pour les utilisateurs de Mac, la priorité reste la rapidité avec laquelle une vulnérabilité crédible arrive chez Apple, puis est corrigée. Le quota peut alléger le tri des rapports erronés et aider les équipes à mieux concentrer leurs efforts sur les bugs vérifiés.
Mais le cas de Bynario montre aussi la limite de l’exercice : un chercheur qui enchaîne plusieurs découvertes légitimes peut se retrouver freiné. Avec l’IA, la capacité d’Apple à distinguer rapidement les alertes solides du bruit devient un élément clé de la vitesse de déploiement des correctifs.
À lire aussi
- Le « Bug Bounty » d’Apple n’est pas assez rémunérateur d’après les experts en sécurité
- Apple offre 50.000 $ à des hackers pour la découverte de dizaine de failles
- iOS 16.4 corrige plus de 30 failles de sécurité
Source : Financial Times — enquête sur les soumissions de bugs Apple et Bynario
