Appleは、AIの普及によって脆弱性報告が急増したことを受け、バグ報奨金制度の運用を見直した。研究者1人あたりの報告件数を制限する措置を導入している。
報告件数の上限と受付停止期間
Appleは、個人および研究グループが同時に提出できる脆弱性報告の件数に上限を設定した。加えて、一度上限へ達すると30日間は新規報告を提出できない受付停止期間も導入した。上限を超えて報告する必要がある場合は、提出枠の拡大を申請できる。
AIの活用は問題の早期発見と修正につながる一方、Apple側では報告内容の確認や審査に多くの人的負担が生じ、報奨金の支払いも増えている。
—
ChatGPTで50件超の脆弱性を発見
この変更は、セキュリティ企業のBynarioが重大な脆弱性の報告を提出しようとした際、新たな上限の導入によって提出できなかったことで明らかになった。BetaNewsによると、AppleはFinancial Timesへの声明で制度変更を認めたとのこと。
BynarioはChatGPTを活用し、macOSで50件を超える不具合を発見した。その中には複数の脆弱性を組み合わせて権限を奪取できる重大な問題も含まれていたという。
Appleは声明で、「AIが生成したセキュリティ報告が業界全体で増加していることから、研究者が同時に開いたままにできる新規報告件数を調整した」と説明した。また、重大な脆弱性が報告されなくなるとの懸念に対し、重要な報告を行う必要がある研究者は提出枠の拡大を随時申請でき、セキュリティチームへ確実に届けられるとしている。
AIによる脆弱性発見は今後さらに増えるとみられており、Appleだけでなく他のソフトウェアベンダーにも同様の対応が広がる可能性がある。
