BetaNewsは8月5日(現地時間)、「AI is so good at finding flaws that Apple has changed its bug bounty program - BetaNews」において、AppleがAIの普及に伴う脆弱性報告の急増を受けバグ報奨金制度の運用を見直したと報じた。

  • AppleがAIの普及によって脆弱性報告が急増したことを受け、バグ報奨金制度の運用を見直した

    AppleがAIの普及によって脆弱性報告が急増したことを受け、バグ報奨金制度の運用を見直した

研究者1人あたりの報告件数を制限

Appleはソフトウェアの脆弱性や安全性の問題を発見した研究者へ報奨金を支払う制度を運営している。AIの利用拡大によって脆弱性の検出効率が高まり、提出される報告件数も増加したことから、同社は制度の運用方法を見直した。

Appleは個人および研究グループが同時に提出できる脆弱性報告の件数に上限を設定した。加えて、一度上限へ達すると30日間は新規報告を提出できない受付停止期間も導入した。上限を超えて報告する必要がある場合は、提出枠の拡大を申請できる。

AIの活用は問題の早期発見と修正につながる一方、Apple側では報告内容の確認や審査に多くの人的負担が生じ、報奨金の支払いも増えている。

ChatGPTで50件超の脆弱性を発見

この変更は、セキュリティ企業のBynarioが重大な脆弱性の報告を提出しようとした際、新たな上限の導入によって提出できなかったことで明らかになった。BetaNewsによると、AppleはFinancial Timesへの声明で制度変更を認めたとのこと。

BynarioはChatGPTを活用し、macOSで50件を超える不具合を発見した。その中には複数の脆弱性を組み合わせて権限を奪取できる重大な問題も含まれていたという。

Appleは声明で、「AIが生成したセキュリティ報告が業界全体で増加していることから、研究者が同時に開いたままにできる新規報告件数を調整した」と説明した。また、重大な脆弱性が報告されなくなるとの懸念に対し、重要な報告を行う必要がある研究者は提出枠の拡大を随時申請でき、セキュリティチームへ確実に届けられるとしている。

AIによる脆弱性発見は今後さらに増えるとみられており、Appleだけでなく他のソフトウェアベンダーにも同様の対応が広がる可能性がある。