Apple submergée par les rapports de bugs générés par IA
Apple, comme d’autres entreprises de la tech, se noie dans les signalements de bugs générés par IA. Pour tenter de garder la tête hors de l’eau, le constructeur a mis en place plusieurs mesures visant à limiter le volume des rapports reçus.
Depuis juin 2025, Apple fait face à une augmentation massive des signalements de bugs générés par des outils d'intelligence artificielle (IA) comme ChatGPT. Ces rapports, souvent de mauvaise qualité ou redondants, submergent les équipes de sécurité de l'entreprise. Pour y répondre, Apple a mis en place des restrictions : un plafond sur le nombre de rapports qu'un chercheur peut ouvrir simultanément et une période de carence de 30 jours avant de pouvoir en soumettre de nouveaux. Ces mesures visent à permettre à Apple de traiter les signalements de manière efficace, mais elles risquent aussi de ralentir la détection de vulnérabilités critiques.
Les nouvelles règles d'Apple ont des répercussions sur les chercheurs en sécurité, notamment l'équipe italienne Bynario. Cette dernière a identifié 50 failles dans la dernière version de macOS en trois semaines, dont une vulnérabilité grave permettant une élévation de privilèges (un pirate pourrait prendre le contrôle d'un Mac). Cependant, en raison des limites imposées par Apple, Bynario n'a pas pu signaler cette faille directement via le portail dédié. La vulnérabilité concernait le système Memory Integrity Enforcement, une protection contre les attaques par corruption de mémoire, et pourrait se vendre jusqu'à 200 000 $ sur le marché noir des cybercriminels.
Apple a augmenté son programme de bug bounty en 2024, offrant jusqu'à 2 millions d'euros (voire 5 millions avec des bonus) pour les failles les plus critiques. Cette prime attire de nombreux chercheurs, dont certains utilisent des outils d'IA pour automatiser leurs signalements. En réponse à la déferlante, Apple a corrigé 87 vulnérabilités dans iOS 26.6 et 155 dans macOS 26.6, en partie grâce à l'IA d'Anthropic et d'OpenAI. L'entreprise a aussi accéléré la distribution de ses mises à jour logicielles. Cependant, le secteur reste sous pression, comme en témoigne Google, qui passe à deux mises à jour hebdomadaires pour son navigateur Chrome au lieu d'une.
Alfredo Pesoli, directeur de *Bynario*, souligne que les responsables de projets et les éditeurs sont submergés par le volume de bugs identifiés par IA. Cette situation crée une période difficile pour le secteur, où la priorisation des vulnérabilités devient cruciale. Apple indique que les chercheurs peuvent demander une augmentation de leur quota de signalements à tout moment, notamment pour les rapports critiques. Malgré ces ajustements, le risque persiste : des failles graves pourraient passer entre les mailles du filet, mettant en péril la sécurité des utilisateurs.
