因AI生成大量低质漏洞报告，苹果限制安全研究人员漏洞提交数量

IT之家于8月2日发布消息称, 苹果对安全研究人员向其内部安全团队提交潜在软件漏洞的数量加以限制, 只因随着越来越多的人借助人工智能模型寻觅那所谓的安全风险, 致使公司收到了海量的漏洞报告。

总部位于美国加州库比蒂诺的这家科技巨头, 向《金融时报》表明, 在今年6月, 公司对漏洞提交流程作出了调整, 以此来应对数量激增的报告, 苹果宣称, 其审核系统正遭受大量“AI垃圾”报告的冲击, 这类报告常常会因为“AI幻觉”而错误地识别软件里的安全风险。

苹果声称, 这同样是整个行业一同面临着的问题, 生成式人工智能类工具正在使网络安全攻防方面的格局发生改变, 一方面它助力研究人员找寻到更多实打实的漏洞, 另一方面它也促使大量源自业余漏洞猎人借助AI生成而成的质量并不高的漏洞报告得以产生。

来自意大利的, 从事网络安全相关业务的初创公司, 有所透露, 他们仅仅花费了三周时间, 便借助了某些事物, 于最新版本的 macOS 当中, 发现了五十多个漏洞。

包括一种严重情况的漏洞类型, 即权限提升漏洞利用链, 一旦攻击者利用此漏洞, 就能获得系统无限权限致使完全控制苹果电脑。

然而, 其声称, 鉴于苹果对漏洞提交数量加以了限制, 所以他们没办法及时朝着苹果去报告这一漏洞。

称整个行业正处于一个极为困难时期的（谁呢）联合创始人兼首席执行官阿尔弗雷多·佩索利表示, 维护者和软件厂商已因数量庞大的漏洞报告而被淹没了。

苹果给出回应表明, 当下已经跟 建立联系, 且正处于着手审核其递交的漏洞信息的进程当中。

已在苹果内部安全门户里加入提交数量上限, 还设置了30天的冷却时段。要是研究人员期望去提高提交配额, 那就得另行提出申请。每一份漏洞报告依旧必须经由人工审核来确认, 然而苹果也正借助AI辅助处理及分流激增的漏洞报告。

苹果于声明当中宣称, 随着整个行业人工智能生成安全报告数量持续递增, 近期它对每位研究人员能够同时提交的新漏洞报告数量作出了调整。

苹果补充表明, 研究人员存在这样一种情况, 即能够时刻可申请去提升这一限制, 目的是凭此来保障关键漏洞可以按时到达我们的安全团队。

有这样一家公司, 它是去年成立于米兰的初创公司, 目前也就只有7名员工, 主要从事网络安全防御软件的开发工作。这家公司的另外三名联合创始人, 之前曾在意大利监控软件公司Team供职。而这家公司所开发的黑客工具, 在2015年的一次网络攻击当中, 出现了遭到泄露的情况。

2025年, 有公司曾向苹果报告8个安全漏洞, 其中1个在去年11月的软件更新時得以完成修复計作。今年, 该公司又成功提交了5个漏洞, 而后苹果系统就拒绝了更多的提交请求。

权限提升漏洞此次没能提交, 这成为了AI暴露出苹果安全体系弱点的最新例子。苹果长久以来都把隐私以及设备安全当作核心卖点, 然而AI工具持续在助力研究人员找出新攻击途径。

去年9月 , 苹果推出了一项安全功能 , 该安全功能名为“内存完整性强制执行” , 其目的在于防止内存损坏攻击 , 而内存损坏攻击是黑客攻击软件最为常见的方法之一。苹果当时表示 , 这是“消费级操作系统历史上最重要的一次内存安全升级”。

可是, 仅仅过了8个月, 在美国加州帕洛阿尔托的那个名为Calif的安全研究团队宣称, 他们凭借所 使用的AI工具, 顺利绕过了这一安全机制, 还找到了最新版系统里的首个内存损坏漏洞。

和此攻击不一样的是, 所发现的漏洞是属于“逻辑漏洞”（Logic Flaw）的。攻击者借助操控受信任的软件, 按非预期的顺序去执行原本就合法的一系列操作, 进而达成权限提升。

佩索利做出估计, 这类用于漏洞利用的工具, 在网络犯罪的黑市之上, 其售卖的价格能够达到，十万至二十万美元, （IT之家做出注释: 当前所对应的汇率, 大约折合, 六十七点七万至一百三十五点四万元人民币）。

去年时苹果推出了新的漏洞奖励计划, 针对那些寻获最严重、极其复杂安全威胁的研究人员, 最高设定给付 500 万美元（当前汇率来讲大致折合 3384.4 万元人民币）的奖金。

与此同时，苹果也正在利用 AI 提升自身软件安全。

在本周发布的、各大操作系统展开的安全更新里头, 苹果头一回公开送出感谢。这感谢是因为, 有两款AI工具提供了协助。借助这两款AI工具, 发现了多项设备具备的安全漏洞。

此次进行的更新, 其中所包含的安全修复数量, 大约是以往发布周期的5倍, 这凸显出, AI正在以空前未有的速度, 重塑网络安全领域当中的攻防格局。

网络安全公司里, 有着威胁情报总监一职的拉夫·皮林（Rafe）表明, 针对所有的软件厂商来讲, 如今AI正给漏洞挖掘带来“双重影响”, 一方面它致使普通用户提交许多推测性漏洞报告更加简便, 另一方面它致使专业研究人员发现那些实属危险的漏洞更加容易。

他说道, 所以呢, 漏洞奖励计划目前所面临的挑战, 已然从去“找寻漏洞”, 转变成了该如何凭借机器速度达成漏洞验证, 对其进行优先级排序, 以及开展响应处理这一系列事情。