Apple ha deciso di mettere un freno ai report sui bug di sicurezza, e la ragione ha un nome ben preciso: la marea di segnalazioni generate dall’intelligenza artificiale che sta sommergendo i suoi team di revisione. L’azienda di Cupertino ha modificato il suo bug bounty program, introducendo limiti che fino a poco tempo fa sarebbero sembrati impensabili.
La conferma è arrivata direttamente da Apple, che ha spiegato di aver introdotto un tetto massimo alle segnalazioni e un periodo di attesa di 30 giorni sui report inviati attraverso il suo portale di sicurezza interno. In pratica, chi vuole superare la quota assegnata deve presentare una richiesta specifica per ottenere un aumento.
Perché Apple ha stretto le maglie
Le modifiche sono state messe in campo lo scorso giugno e puntano a gestire un fenomeno che riguarda tutto il settore, non solo Cupertino. Il punto è questo: i modelli linguistici di grandi dimensioni, quelli che chiamiamo LLM, sono diventati talmente potenti da riuscire a individuare vulnerabilità, concatenarle e persino sfruttarle. Il risultato? Un volume di segnalazioni che i team di revisione fanno fatica a smaltire.
Non è la prima mossa in questa direzione. Poche settimane fa Apple aveva già confermato di aver accelerato i suoi aggiornamenti di sicurezza proprio in risposta a questi strumenti basati su intelligenza artificiale, rilasciando in anticipo con iOS 26.5.2 e le versioni gemelle alcune correzioni originariamente previste per gli aggiornamenti 26.6.
Nelle note di sicurezza di quei sistemi, l’azienda ha riconosciuto il lavoro di diversi ricercatori che avevano usato strumenti di intelligenza artificiale sviluppati da OpenAI, Anthropic, Z.ai e altri, contribuendo a scovare varie falle. Tra i team citati c’era Calif.io, che a maggio aveva raccontato di aver usato il modello Mythos Preview di Anthropic per costruire in soli cinque giorni un exploit funzionante capace di corrompere la memoria del kernel su macOS con i chip M5.
Il caso Bynario e il fenomeno dell’AI slop
La stretta di Apple arriva a pochi giorni di distanza da una mossa simile di GitHub, che ha introdotto un sistema a livelli per il suo programma di bug bounty. L’obiettivo è lo stesso: arginare quella che ormai viene chiamata AI slop, cioè la valanga di segnalazioni di scarsa qualità generate in automatico, distinguendola dal lavoro dei ricercatori verificati.
C’è una storia che rende bene l’idea di come funzionano le cose. Bynario è una piccola startup di cybersecurity composta da sette persone, che ha usato i più recenti strumenti di intelligenza artificiale per trovare vulnerabilità. Ebbene, dopo aver segnalato cinque bug ad Apple quest’anno, e otto vulnerabilità lo scorso anno, una delle quali corretta con un aggiornamento software a novembre, le sue segnalazioni sono state bloccate.
La vicenda ha avuto un seguito. Apple ora si è messa in contatto con Bynario e sta esaminando le sue scoperte, tra cui una catena di exploit per l’escalation dei privilegi che potrebbe potenzialmente dare a un attaccante il controllo completo di un Mac.
Sul cambiamento del suo programma, Apple ha dichiarato di aver rivisto il numero di nuovi report che un ricercatore può tenere aperti contemporaneamente, proprio a causa del crescente volume di segnalazioni generate dall’intelligenza artificiale in tutto il settore. L’azienda ha però tenuto a precisare che i ricercatori possono chiedere in qualsiasi momento un aumento di quel limite, così da assicurarsi che i report più critici arrivino comunque ai team di sicurezza.
