Apple kan eigen beloningsprogramma niet meer bijbenen door AI

Apple heeft het druk met het Security Bounty-programma. Zo druk dat ze een stortvloed aan bugmeldingen niet meer kunnen verwerken. Het Amerikaanse techbedrijf moet zijn eigen beloningsprogramma voor beveiligingslekken daardoor tijdelijk afremmen.

Waar Apple onderzoekers normaal juist aanmoedigt om kwetsbaarheden te melden is er nu een limiet ingesteld. Het aantal meldingen dat beveiligingonderzoekers tegelijk mogen indienen is beperkt, inclusief een afkoelperiode van 30 dagen. Er komen nu te veel rapporten binnen en ze zijn lang niet allemaal even bruikbaar. Daarover bericht Financial Times.

AI is de schuldige

Volgens Apple komt dat door de opkomst van AI-tools die razendsnel mogelijke beveiligingslekken opsporen. Dat levert niet alleen waardevolle inzichten op, maar ook een berg ‘AI-slop’. Dat zijn meldingen die er plausibel uitzien, maar in werkelijkheid niet kloppen of inhoudelijk niet sterk zijn. Elk rapport moet handmatig worden gecontroleerd en daar loopt het systeem nu vast door die golf aan inzendingen.

De impact raakt ook serieus nuttige gevallen. Een kleine Italiaanse start-up wist met behulp van AI in korte tijd tientallen mogelijke bugs in macOS te vinden, waaronder een ernstige kwetsbaarheid waarmee een aanvaller volledige controle over een systeem kan krijgen. Maar door de nieuwe limieten konden ze die niet allemaal tegelijk rapporteren.

Het verhaal kent twee kanten. AI versnelt het werk van zowel ethische hackers als kwaadwillenden. Kwetsbaarheden worden door ethische hackers opgespoord, maar kwaadwillenden kunnen net zo snel te werk gaan en hebben hele andere plannen dan bugs netjes melden aan Apple. Het techbedrijf gebruikt zelf inmiddels AI om meldingen te sorteren en prioriteren, maar dat is nog geen vervanging van het mensenwerk dat er ook bij komt kijken.