AI Overspoelt Apple's Bug Bounty-programma, Reviewteam Offline

Apple's bug bounty-programma, opgericht in 2016, is overweldigd door een toename van AI-gegenereerde kwetsbaarheidsrapporten, waardoor Apple het indieningsportaal tijdelijk heeft uitgeschakeld en op 2 augustus een afkoelingsperiode van 30 dagen heeft opgelegd. Het programma was in oktober 2025 geüpgraded met beloningen tot 5 miljoen dollar. AI-tools zoals ChatGPT hebben echter amateurs in staat gesteld om code bulk te scannen en rapporten in te dienen, waarvan vele hallucinaties zijn, waardoor het beoordelingsteam wordt overspoeld. In mei 2026 maakte beveiligingsbedrijf Calif de eerste openbare exploit van Apple's M5-chip macOS bekend, waarbij Claude's Mythos Preview-model werd gebruikt om twee kwetsbaarheden aan elkaar te koppelen tot een lokale privilege-escalatie, waarmee Apple's Memory Integrity Enforcement (MIE)-beveiligingsfunctie werd omzeild. Het team had binnen vijf dagen een werkende root-shell en moest persoonlijk een rapport van 55 pagina's bij Apple's hoofdkantoor afleveren om opgemerkt te worden. Het aantal CVE-registraties zal naar verwachting in 2026 66.000 bereiken, 46% hoger dan oorspronkelijk geschat. In de hele industrie verdrinken onderhouders in AI-gegenereerde rapporten; de oprichter van Curl meldde nul echte kwetsbaarheden uit 20 rapporten in drie weken. Google, Nextcloud en GitHub hebben allemaal maatregelen genomen om AI-gegenereerde inzendingen te beperken. Ondertussen erkennen Apple's beveiligingsupdates voor het eerst AI-tools; de macOS Tahoe 26.6-update verhelpt 194 kwetsbaarheden en erkent bijdragen van Anthropic's Claude, OpenAI's Codex Security, NVIDIA's AI Red Team en Z.ai's GLM-model. Apple's versnelde release-cadans weerspiegelt een oordeel dat wachten op de volgende reguliere update te riskant is, maar de frequente releases zelf kunnen nieuwe beveiligingsvariabelen introduceren.