Apples Bug-Bounty-Programm ertrinkt im AI Slop

robert coolen – Shutterstock

Apple sieht sich mit einem unerwarteten Problem konfrontiert: Das Unternehmen erhält derzeit so viele KI-generierte Sicherheitsmeldungen, dass Hinweise auf wichtige Schwachstellen darin unterzugehen drohen. Als Reaktion hat Apple nun die Anzahl der Bug-Reports begrenzt, die Sicherheitsforscher innerhalb eines bestimmten Zeitraums einreichen können. Einsender, die wiederholt KI-generierte Berichte einreichen, riskieren eine 180-tägige Strafe, bei mehr als zwei solcher Strafen folgt ein dauerhafter Ausschluss.

Wenn KI zum Problem wird

Künstliche Intelligenz (KI) soll die Arbeit von Sicherheitsforschern erleichtern. Tatsächlich können moderne KI-Tools Software nach Schwachstellen durchsuchen und potenzielle Fehler deutlich schneller finden als früher.

Doch genau diese Effizienz hat eine Schattenseite. Viele Forscher lassen die KI große Mengen möglicher Sicherheitslücken identifizieren und melden anschließend sämtliche Ergebnisse an Apple – unabhängig davon, ob es sich um echte, neue oder bereits bekannte Probleme handelt. Das Ergebnis: Die Sicherheitsteams werden mit einer Flut von Meldungen überhäuft, von denen viele doppelt, belanglos oder bereits behoben sind.

Dadurch steigt der Aufwand erheblich, die wenigen wirklich kritischen Schwachstellen herauszufiltern.

Die Kosten guter Absichten

Allerdings hat Apple das Problem auch mitverschuldet – durch die (Paywall), bezogen sich viele der eingereichten Meldungen auf identische Fehler, bereits behobene oder auch nur triviale Probleme. Dadurch konnten die wirklich gravierenden Schwachstellen nur unter erschwerten Bedingungen und langsam identifiziert werden. Die Lage spitzte sich derart zu, dass das Unternehmen im Juni beschloss, die oben genannten Beschränkungen einzuführen.

Ganz starr ist das System allerdings nicht: Da Apple schon lange mit der Security-Community zusammenarbeitet, kennt das Unternehmen bestimmte Forschungsteams gut. Vertrauenswürdige Gruppen können daher eine höhere Quote eingeräumt bekommen. Zudem setzt Apple eigene KI-Systeme ein, um eingehende Meldungen automatisch zu sortieren sowie AI-Slop, also KI-generierten Datenmüll, zu erkennen und auszusortieren.

Wenn wichtige Meldungen blockiert werden

Das System der Kalifornier hat jedoch auch Schwächen, so der Bericht der , den die Italiener separat melden wollten, konnten sie aufgrund des erschöpften Limits nicht einreichen. Hierbei handelt es sich um eine Schwachstelle in der macOS-Bildschirmfreigabe, die es einem authentifizierten VNC-Viewer erlaubt, auf geschützte Daten zuzugreifen und Dateien mit Root-Rechten zu erstellen. Erfolgreiche Angreifer können damit dann beliebige Befehle auf den infizierten Geräten ausführen.

Apple klassifizierte sie später als Kontakt mit Bynario auf.

Kein reines Apple-Problem

Das Problem betrifft nicht nur Apple, sondern auch Sicherheitsteams auf anderen Plattformen. , der den Einsatz von KI im Sicherheitsbereich in bei unserer Schwesterpublikation Computerworld.com erschienen.