Компания Apple была вынуждена ввести ограничение на количество отчетов от исследователей безопасности из-за того, что ее системы перегружены низкокачественными предупреждениями, генерируемыми искусственным интеллектом.
Это классический пример того, как технологии, созданные для помощи, могут стать препятствием для достижения целей: технология, призванная облегчить нашу жизнь, стала барьером. Во-первых, искусственный интеллект не только повысил стоимость потребительской электроники, но и используется для выявления и эксплуатации уязвимостей в системах безопасности – при этом перегружая команды безопасности большим количеством отчетов низкого уровня, что приводит к снижению их концентрации внимания.
Цена благих намерений
Вот что произошло в Apple: исследователи безопасности используют искусственный интеллект как инструмент для выявления новых уязвимостей. Возможно, эти отчеты действительно полезны. Надеемся, что исследователи не руководствуются только обещанием легких вознаграждений за обнаруженные ошибки. Или, возможно, это циничная попытка перегрузить команды по обеспечению безопасности платформы отчетами о незначительных проблемах – в то время как более серьезные атаки сохраняются для использования реальными, хорошо финансируемыми государственными акторами.
Мы не можем знать наверняка, действительно ли атакующие пытаются сначала вывести из строя активные системы защиты, прежде чем перейти к финальной атаке. Но учитывая, что это активно используемая военная стратегия, игнорировать эту возможность довольно сложно.
Ответ Apple
Итак, что происходит в компании Apple? Компания установила некоторые ограничения для сообщения об ошибках, поскольку ситуация вышла из-под контроля. Она внедрила ограничение на количество отчетов и 30-дневный период ожидания для отправленных отчетов, хотя исследователи, превышающие это ограничение, могут запросить продление срока.
Это следует недавнему решению компании Apple увеличить максимальную сумму вознаграждения за обнаруженные критические уязвимости до 5 миллионов долларов. Компания Apple выплатила более 35 миллионов долларов примерно 800 исследователям, начиная с запуска своей программы по вознаграждению за найденные ошибки.
Согласно отчету Financial Times, многие из этих отчетов касались одних и тех же ошибок, некоторые из которых уже были исправлены, другие – незначительны, но в совокупности они создавали хаос, затрудняя выявление действительно серьезных проблем. Ситуация стала настолько напряженной, что компания приняла решение ввести ограничения в июне.
Существует небольшая гибкость в этом подходе: компания Apple достаточно долго сотрудничает с сообществом безопасности и, следовательно, знает некоторые исследовательские группы. Тем, кого она больше всего доверяет, можно предоставить расширенный объем работы. Кроме того, Apple развернула собственные системы искусственного интеллекта для обработки поступающих отчетов, чтобы выявлять и удалять некачественные данные, сгенерированные ИИ.
Компания также использует внутренние системы от Anthropic и OpenAI для выявления и устранения уязвимостей, что привело к обширному набору исправлений в последнем обновлении программного обеспечения.
The Times сообщает об итальянской компании Bynario, которая обнаружила довольно опасную цепочку уязвимостей, позволяющую злоумышленникам получить полный контроль над Mac-компьютером. Компания также сообщила о втором баге, CVE-2026-43760, – уязвимости в функции Screen Sharing для macOS, которая позволяла аутентичному VNC-клиенту получать доступ к защищенным данным и создавать файлы с правами root.
К сожалению, трудолюбивая исследовательская команда не смогла сообщить о первом баге, так как за три недели они успели подать более 50 отчетов благодаря использованию ИИ. Другими словами, возможно, что некоторые специалисты по безопасности прямо сейчас не могут сообщать об критических уязвимостях в Apple, потому что система перегружена ненужной информацией.
Это не проблема только Apple
Что делает эту ситуацию еще более сложной в том, что проблема затрагивает не только Apple – команды безопасности на различных платформах сталкиваются с той же проблемой. Раф Пиллинг, эксперт по безопасности в Sophos, рассказал FT, что программы вознаграждения за обнаружение уязвимостей во всей отрасли были вынуждены перейти от поиска уязвимостей к проверке сообщений об их существовании "с машинной скоростью".
Это следует за комментариями эксперта по безопасности компании Jamf Адама Бойинтона, который на прошлой неделе назвал использование ИИ в сфере безопасности как «гонку вооружений между защитниками и атакующими, которые все больше используют одни и те же инструменты».
Когда речь идет о безопасности платформ, искусственный интеллект, возможно, добавил новую степень сложности в уже сложную среду. Надеюсь, реальные угрозы будут продолжать быстро выявляться по мере их появления, а не ошибочно рассматриваться как результат работы ИИ.
Когда никто не приходит
Чтобы понять, как это работает, попробуйте прочитать сказку Эсопа о пастухе, который слишком часто вызывал тревогу. В итоге, когда наступила настоящая беда, никто не пришел помочь, и юный пастух… был съеден.
Источник: Computerworld
