AI支援により脆弱性報告が急増、Appleは研究者の提出数を制限

BlockBeats メッセージ、8月2日、フィナンシャル・タイムズの報道によると、Appleは多数の研究者がAIモデルを使用してソフトウェアの脆弱性を探しているため、内部セキュリティチームに寄せられる報告が急増し、6月に研究者が同時に提出できる脆弱性の数を制限し、30日間のクーリングオフ期間を設定した。Appleは、AIが生成した報告の一部がセキュリティリスクを捏造し、審査システムに負担をかけていると述べている。

イタリアのサイバーセキュリティ新興企業Bynarioは、OpenAIのChatGPTを使用して、3週間で最新版MacBookオペレーティングシステムの50以上の脆弱性を発見したと述べている。その中には権限昇格攻撃チェーンも含まれており、攻撃者はこれを利用してAppleコンピュータの完全なシステム制御権を取得できる可能性がある。しかし、Appleが報告数の制限を設けたため、同社は一時関連する脆弱性を提出できなかった。Appleは、現在Bynarioと連絡を取り、審査を開始したと述べている。

Appleは、各セキュリティ報告は依然として人手による確認が必要であり、同時に社内でもAIを使用して急増する報告を分類していると述べている。研究者は提出枠の増加を申請でき、深刻な脆弱性がセキュリティチームに確実に届くようにすることができる。Bynarioは、発見した権限昇格の脆弱性がサイバー犯罪の闇市場で10万〜20万ドルの価値を持つ可能性があると推定している。

Appleは昨年、新しいバグ報奨金制度を導入し、ソフトウェアの最も深刻で複雑な脅威カテゴリを発見した場合、最大500万ドルの報酬を支払うことができる。

Appleが今週発表したシステムセキュリティ更新では、AnthropicとOpenAIのツールが複数のデバイスの脆弱性発見を支援したことも明らかになっており、今回の修正数は従来の更新サイクルの約5倍に達している。セキュリティ企業Sophosは、AIが実際の脆弱性発見の効率を高めると同時に、大量の低品質な報告を生み出しており、バグ報奨金プログラムの難点は「脆弱性の発見」から迅速な検証、優先順位付け、対応へと移行していると述べている。