Apple и ИИ-баги: Перегрузка Отчетов и Новые Правила для Исследователей

Apple, подобно другим технологическим гигантам, тонет в потоке сообщений об ошибках, сгенерированных искусственным интеллектом. Пытаясь справиться с этим наплывом, компания ввела ряд мер, направленных на ограничение объема получаемых отчетов, что, в свою очередь, рискует вызвать недовольство среди исследователей безопасности.

С июня Apple ввела ограничения и 30-дневный период ожидания для отчетов об ошибках, подаваемых через специализированный веб-портал. «В связи с ростом числа отчетов о безопасности, генерируемых ИИ во всей отрасли, мы недавно скорректировали количество новых отчетов, которые исследователь может иметь одновременно открытыми», — подтвердила компания Financial Times.

Apple прикручивает вентиль

Цель этих мер — предоставить собственным командам разработчика время для проверки поступающих сообщений и, при необходимости, создания исправлений. Поток низкокачественных отчетов об ошибках, сгенерированных ИИ, настолько велик, что чрезвычайно сложно (и долго) отделить зерна от плевел. Система, обрабатывающая эти сообщения, находится под огромным давлением, что и потребовало принятия радикальных решений.

К сожалению, это решение может иметь негативные последствия: оно способно помешать добросовестным исследователям безопасности сообщать Apple о существовании важных уязвимостей. Именно с такой ситуацией столкнулась итальянская команда Bynario, которая за три недели обнаружила около пятидесяти уязвимостей в последней версии macOS с помощью ChatGPT.

Среди этих уязвимостей одна является особенно серьезной, поскольку позволяет повысить привилегии, что может дать злоумышленнику возможность получить полный контроль над Mac. К сожалению, Bynario не смогла уведомить Apple из-за новых ограничений на количество отправляемых сообщений. Тем не менее, после запроса от Financial Times, Apple согласилась рассмотреть их отчет.

В 2025 году (сохраняю год как в оригинале) итальянские исследователи представили Apple восемь отчетов об ошибках, один из которых был исправлен в ноябре. С начала этого года они сообщили о пяти дополнительных уязвимостях, прежде чем Apple закрыла для них возможность отправки новых. Уязвимость, которую не удалось отправить, касалась системы принудительной проверки целостности памяти (Memory Integrity Enforcement), представленной в прошлом сентябре и предназначенной для предотвращения атак с повреждением памяти. По данным Bynario, такая уязвимость может быть продана на черном рынке киберпреступников за сумму до 200 000 долларов.

Приманка прибыли

«Руководители проектов и разработчики перегружены количеством обнаруженных ошибок», — признает Альфредо Песоли, генеральный директор и соучредитель Bynario, для которого «это очень трудный период для отрасли». Apple уточняет, что исследователи могут «легко запросить в любой момент» увеличение лимита на отправку отчетов, чтобы критически важные сообщения о безопасности могли быть учтены.

В прошлом году Apple значительно улучшила свою программу вознаграждений за обнаружение ошибок (bug bounty), позволяя исследователям получать до 2 миллионов долларов (и даже 5 миллионов с бонусами) за наиболее важные уязвимости. Это подогрело интерес многих энтузиастов, которые теперь испытывают удачу с помощью инструментов искусственного интеллекта.

В своем последнем пакете программных обновлений Apple значительно увеличила количество исправлений: 87 уязвимостей было устранено в iOS 26.6, и 155 в macOS 26.6. Некоторые из этих исправлений стали возможными благодаря ИИ от Anthropic и OpenAI, среди прочих лабораторий. Apple также объявила об ускорении процесса распространения этих обновлений, что также связано с большим объемом поступающих сообщений.

Apple не единственная компания в отрасли, которая страдает от необходимости выпускать многочисленные исправления безопасности из-за ИИ. Google, например, на прошлой неделе объявила, что Chrome будет получать два еженедельных обновления вместо одного.