Una vera falla di macOS è rimasta senza segnalazione perché la casella bug bounty di Apple era sommersa da spazzatura generata dall'IA
Apple ha limitato il numero di segnalazioni che ogni ricercatore di sicurezza può inviare, perché un'ondata di report generati dall'IA con vulnerabilità inventate sta intasando la coda. Di conseguenza una startup italiana non ha potuto segnalare subito una vera falla di macOS.
Apple ha iniziato a limitare il numero di segnalazioni di sicurezza che ogni ricercatore può inviare e impone poi un periodo di attesa di 30 giorni. La casella del suo bug bounty è sommersa da invii generati dall’IA che descrivono vulnerabilità inesistenti. Il Financial Times ha riferito del cambiamento nel fine settimana. I ricercatori possono chiedere una quota più alta, ma il limite ora è la regola.
La conseguenza ha colpito una falla reale. Bynario, una startup italiana di sicurezza, ha usato ChatGPT per trovare una grave vulnerabilità di macOS che avrebbe potuto dare a un attaccante il controllo completo del computer. Quando il team ha cercato di segnalarla, aveva già raggiunto il limite di Apple e non poteva depositare il report. Il CEO Alfredo Pesoli stima che sul mercato grigio la falla varrebbe tra 100.000 e 200.000 dollari, dove informazioni simili vengono vendute a persone che non le segnalano. Apple ha poi contattato direttamente l’azienda.
L’ironia è difficile da ignorare. Mentre Apple rallenta le segnalazioni esterne, usa internamente modelli di Anthropic e OpenAI per cercare bug nel proprio codice; nell’ultimo giro di aggiornamenti ha distribuito circa cinque volte più correzioni rispetto a una release tipica.
Cosa c’è dietro. Un bug bounty è un’offerta permanente: trova una falla nel nostro prodotto, comunicacela invece di venderla e ti pagheremo. Il sistema vive della revisione umana, e il tempo di revisione è la risorsa scarsa. I modelli linguistici non hanno cambiato l’aspetto di un buon report; hanno reso molto più economico produrre qualcosa che gli somiglia. Oggi chi spera che un revisore lo faccia passare può generare in pochi secondi una descrizione inventata, con linguaggio tecnico plausibile e tono sicuro. È questo che si intende per AI slop: non necessariamente un errore intenzionale, ma materiale prodotto più velocemente di quanto chiunque possa controllarlo. Rafe Pilling di Sophos lo ha detto chiaramente al FT: i programmi bug bounty sono passati dal trovare vulnerabilità al validarle alla velocità delle macchine. La domanda è se il modello sopravviverà oppure se le grandi aziende porteranno la ricerca delle falle completamente al loro interno, smettendo di pagare chi sta fuori.
Cosa significa per te: Se non sei un ricercatore di sicurezza, oggi sul tuo iPhone non cambia nulla, e Apple continua a distribuire correzioni con un buon ritmo. La lezione utile riguarda la forma del problema, non il prodotto. Qualunque processo dipenda da persone che leggono invii, candidature, richieste di finanziamento, ticket di assistenza o code di moderazione, deve fare i conti con la stessa situazione: generare è diventato economico, revisionare no. Se gestisci un processo simile, un filtro più intelligente raramente basta. Di solito servono un costo per chi invia, un segnale di reputazione o un piccolo canale verificato che aggiri del tutto il flusso. Apple ha scelto la prima opzione, e una falla vera è rimasta senza segnalazione per un po’.
Fonti
Meta ha dato al suo agente IA un secondo agente con un solo compito: ricordare
Durante i compiti lunghi gli agenti dimenticano i vincoli e ripetono i comandi falliti. La risposta di Meta AI è un agente della memoria separato, che conserva un registro strutturato e decide quando interrompere il lavoro con un promemoria, ottenendo fino a otto punti in due benchmark.
