Apple restreint désormais le nombre de signalements de failles de sécurité que les chercheurs peuvent lui soumettre. Cette décision répond à une explosion des signalements générés par intelligence artificielle, au point d’avoir des hallucinations.
Apple plafonne les signalements pour la sécurité
Une chaîne de vulnérabilités capable de transformer un utilisateur sans privilèges en administrateur d’un Mac vaudrait entre 100 000 et 200 000 dollars sur le marché noir. C’est précisément ce type de vulnérabilité que la start-up italienne Bynario n’a pas pu signaler à Apple : ses soumissions ont été bloquées au moment critique, selon les déclarations de son dirigeant Alfredo Pesoli.
En trois semaines, Bynario avait pourtant identifié plus de 50 failles de sécurité au niveau de macOS à l’aide de ChatGPT, dont une chaîne d’escalade de privilèges et plusieurs vulnérabilités reposant sur un enchaînement d’actions légitimes exécutées dans un ordre involontaire. La start-up n’avait signalé que huit failles de sécurité en 2025, contre seulement cinq en 2026 avant le blocage, une chute qui traduit directement l’effet du nouveau plafond mis en place par Apple en juin.
Face à cet afflux de signalements, Apple a introduit un plafond de soumissions assorti d’un délai de réflexion de 30 jours. Auprès du Financial Times, Apple a déclaré :
Compte tenu de l’augmentation du nombre de signalements de failles de sécurité générés par IA dans l’ensemble du secteur, nous avons récemment ajusté le nombre de nouveaux signalements qu’un chercheur peut avoir ouverts simultanément. Les chercheurs peuvent facilement demander une augmentation de cette limite à tout moment afin de s’assurer que les signalements critiques parviennent à nos équipes de sécurité.
L’entreprise a aussi confirmé être en contact avec Bynario et examiner ses demandes d’augmentation de quota, tout en s’appuyant désormais sur l’intelligence artificielle pour trier les signalements. Cette réponse illustre le double impact de l’IA sur la sécurité informatique : elle facilite la découverte de vraies vulnérabilités par des chercheurs sérieux, mais génère aussi un volume de signalements spéculatifs venus d’amateurs, rendant la validation plus difficile que la découverte elle-même.
Récemment, Apple a publié iOS 26.6 sur iPhone, macOS 26.6 sur Mac et d’autres mises à jour x.6. Il se trouve qu’il y a eu beaucoup de failles de sécurité bouchées (environ cinq fois plus de correctifs que lors des cycles précédents) et Apple a crédité des IA comme Claude et Codex pour les découvertes.
Le Memory Integrity Enforcement déjà mis à l’épreuve
Apple avait déployé en septembre 2025 sa protection Memory Integrity Enforcement (MIE) pour prévenir les attaques par corruption de mémoire, en parallèle d’une amélioration de son programme bug bounty pouvant verser jusqu’à 5 millions de dollars pour les failles les plus critiques. Huit mois plus tard, des chercheurs de la société californienne Calif sont parvenus à contourner cette protection en utilisant Mythos, le modèle d’IA dédié à la recherche de failles développé par Anthropic.
Cette vulnérabilité, basée sur une corruption mémoire classique, diffère de celle découverte par Bynario qui repose sur des failles logiques et non sur la mémoire elle-même. Les deux cas confirment que l’IA générative est devenue un outil central de la recherche de failles de sécurité, aussi bien pour les attaquants que pour les défenseurs.
0 commentaires