Une vraie faille macOS est restée non signalée, l'inbox du bug bounty d'Apple étant noyée sous les déchets générés par l'IA
Apple a limité le nombre de rapports que chaque chercheur en sécurité peut déposer, car un flot de signalements générés par l'IA et décrivant des failles imaginaires encombre la file. Une start-up italienne n'a ainsi pas pu signaler une véritable faille macOS.
Apple limite désormais le nombre de rapports de sécurité que chaque chercheur peut envoyer et impose ensuite un délai de 30 jours. Sa boîte de réception dédiée au bug bounty est submergée de signalements générés par l’IA qui décrivent des vulnérabilités inexistantes. Le Financial Times a rapporté ce changement ce week-end. Les chercheurs peuvent demander un quota supérieur, mais le plafond est désormais la règle.
La mesure a touché une faille bien réelle. Bynario, une start-up italienne de sécurité, a utilisé ChatGPT pour découvrir une vulnérabilité macOS grave qui pouvait donner à un attaquant le contrôle total d’une machine. Lorsque l’équipe a voulu la signaler, elle avait déjà atteint la limite de soumission d’Apple et ne pouvait plus déposer son rapport. Son PDG Alfredo Pesoli estime que la faille vaudrait entre 100 000 et 200 000 dollars sur le marché gris, où ce type d’information est vendu à des gens qui ne les signalent pas. Apple a depuis contacté directement l’entreprise.
L’ironie mérite qu’on s’y arrête. Tandis qu’Apple ralentit les signalements externes, l’entreprise utilise en interne des modèles d’Anthropic et d’OpenAI pour traquer les bugs dans son propre code. Sa plus récente série de mises à jour a corrigé environ cinq fois plus de problèmes qu’une version habituelle.
Ce qui se cache derrière. Un bug bounty est une offre permanente : trouvez une faille dans notre produit, prévenez-nous au lieu de la vendre, et vous serez payé. Tout le système repose sur une vérification humaine, et le temps de vérification est la ressource rare. Les modèles de langage n’ont pas changé ce qui fait un bon rapport ; ils ont rendu beaucoup moins coûteuse la production d’un texte qui lui ressemble. Une description de vulnérabilité inventée peut désormais être produite en quelques secondes, avec un vocabulaire technique plausible et un ton assuré, par quelqu’un qui espère qu’un examinateur la laissera passer. C’est cela, l’AI slop : pas forcément une erreur volontaire, mais un contenu produit plus vite que quiconque ne peut le contrôler. Rafe Pilling, de Sophos, a résumé le changement au FT : les programmes de bug bounty seraient passés de la découverte des vulnérabilités à leur validation à la vitesse des machines. La question est de savoir si le système survivra ou si les plus grandes entreprises rapatrieront entièrement la recherche de vulnérabilités et cesseront de payer les intervenants extérieurs.
Ce que cela signifie pour vous : Si vous n’êtes pas chercheur en sécurité, rien ne change aujourd’hui sur votre iPhone, et Apple continue de publier des correctifs à un rythme soutenu. La leçon transposable concerne la forme du problème, pas le produit. Tout processus où des humains doivent lire des soumissions, candidatures, demandes de subvention, tickets d’assistance ou files de modération, rencontre désormais la même équation : la génération est devenue bon marché, la vérification ne l’est pas. Si vous gérez un tel processus, un filtre plus intelligent est rarement la solution. Il faut généralement un coût pour l’expéditeur, un signal de réputation ou un petit canal vérifié qui contourne entièrement le flot. Apple a choisi la première option, et une vraie faille est ainsi restée non signalée pendant un moment.
Sources
Meta a donné à son agent IA un second agent dont le seul travail est de se souvenir
Sur les tâches longues, les agents oublient les contraintes et répètent les commandes qui ont échoué. La réponse de Meta AI est un agent mémoire séparé, qui tient un relevé structuré et décide quand interrompre le travail pour rappeler un point important ; le gain atteint huit points sur deux benchmarks.
