בעקבות עלייה חדה במספר הדיווחים - שרבים מהם נוצרו באמצעות כלי בינה מלאכותית (AI) ואינם עומדים בסטנדרטים הנדרשים - החברה מציבה גבולות חדשים בתוכנית ה-Apple Security Bounty.
על פי דיווחים אחרונים, אפל החלה להגביל את מספר הדיווחים הפתוחים לכל חוקר והטילה תקופת "צינון" של 30 יום בין הגשות. חוקרים שיגישו שוב ושוב ממצאים שנוצרו על ידי AI ללא בדיקה אנושית מספקת, עלולים להיות מושעים לתקופה של עד חצי שנה - ואף להיות מורחקים מהתוכנית לצמיתות.
המהלך מגיע על רקע תופעה רחבה בתעשיית הסייבר: כלי AI אמנם מאפשרים גילוי מהיר של חולשות פוטנציאליות, אך הם יוצרים גם הצפה של דיווחי סרק. פלטפורמת Bugcrowd, למשל, דיווחה על זינוק של פי ארבעה במספר ההגשות בתוך שבועות ספורים - כאשר רובן התבררו כלא רלוונטיות. גם פרויקטים נוספים כבר מגיבים לתופעה: פרויקט הקוד הפתוח curl הקפיא את תוכנית הבאונטי שלו בעקבות "התפוצצות של דיווחי זבל מבוססי AI", Nextcloud נקטה צעד דומה, וגיטהאב (GitHub) עדכנה את מבנה התגמולים שלה.
עם זאת, לא כל הדיווחים המבוססים על AI חסרי ערך. חברות מחקר כמו Bynario הצליחו לזהות עשרות חולשות פוטנציאליות במערכות macOS בתוך זמן קצר. אחת מהן - פגיעות בשיתוף המסך - הייתה חמורה מספיק כדי לקבל מזהה CVE רשמי ולזכות בתיקון.
הבעיה המרכזית נותרה תהליך האימות: בעוד שבינה מלאכותית מסוגלת להציע תרחישי תקיפה במהירות, כל ממצא דורש בדיקה ידנית מעמיקה, שחזור של התקלה והערכת הסיכון בפועל. כעת, באפל מנסים להתמודד עם העומס באמצעות שילוב של כלי AI פנימיים לצד החמרת דרישות הסף - כולל הצגת הוכחת היתכנות (PoC) מעשית. מנגד, התגמולים לחוקרים רציניים רק עולים: אפל מציעה כיום מעל 5 מיליון דולר עבור גילוי שרשראות תקיפה מורכבות במיוחד.
