Apple submergée par les rapports de bugs générés par IA
Apple traverse une période difficile face à l'afflux de rapports de bugs générés par intelligence artificielle. Depuis juin, le constructeur impose un plafond et une période de carence de 30 jours pour les signalements soumis via son portail web dédié. Apple a confirmé au Financial Times avoir « récemment ajusté le nombre de nouveaux rapports qu'un chercheur peut avoir ouverts simultanément » face à l'augmentation des signalements générés par IA dans l'ensemble du secteur. Cette restriction a eu une conséquence concrète pour l'équipe italienne Bynario, qui a découvert une cinquantaine de failles dans la dernière version de macOS en trois semaines à l'aide de ChatGPT, dont une vulnérabilité sérieuse permettant une élévation de privilèges et la prise de contrôle d'un Mac. Bynario n'a pas pu soumettre ce rapport en raison des nouvelles limites, et Apple n'a accepté de l'examiner qu'après la sollicitation du Financial Times. En 2025, l'équipe avait soumis huit rapports à Apple, dont un corrigé en novembre, et cinq signalements supplémentaires depuis le début de l'année avant de se heurter au plafond.
Résumé et traduction réalisés par Le Fil IA à partir de Next INpact. Lire l'article original →
Cette situation illustre un risque réel pour la sécurité des utilisateurs : la faille non signalée touchait le système Memory Integrity Enforcement, dévoilé en septembre dernier pour contrer les attaques par corruption de mémoire, une vulnérabilité de ce type pouvant se revendre jusqu'à 200 000 dollars sur le marché noir. Alfredo Pesoli, directeur général et cofondateur de Bynario, reconnaît que « les responsables de projets et les éditeurs sont submergés par la quantité de bugs découverts », qualifiant la période d'« très difficile pour le secteur ». Pour Apple, l'enjeu est de préserver la capacité de ses équipes à vérifier chaque signalement et développer des correctifs sans être noyées sous des rapports de qualité inégale, tout en évitant de fermer la porte à des découvertes de vulnérabilités critiques. L'entreprise assure que les chercheurs peuvent « facilement demander à tout moment » une augmentation de leur quota pour les rapports jugés critiques.
Ce phénomène dépasse largement Apple. L'entreprise a bonifié l'an dernier son programme de bug bounty, offrant jusqu'à 2 millions de dollars, et 5 millions avec bonus, pour les failles les plus importantes, ce qui attise l'intérêt de nombreux chercheurs amateurs équipés d'outils d'IA. Sa dernière livraison de mises à jour a corrigé 87 vulnérabilités dans iOS 26.6 et 155 dans macOS 26.6, plusieurs correctifs ayant été rendus possibles grâce aux IA d'Anthropic et d'OpenAI. Apple a par ailleurs annoncé accélérer son processus de distribution de mises à jour pour absorber ces volumes. D'autres géants du secteur subissent la même pression : Google a annoncé la semaine dernière que Chrome passerait à deux mises à jour de sécurité hebdomadaires au lieu d'une, en raison de l'essor des vulnérabilités détectées par IA. Le secteur cherche désormais comment absorber cette déferlante de signalements sans sacrifier ni la réactivité face aux menaces réelles, ni la relation de confiance avec les chercheurs en sécurité légitimes.
L'équipe italienne Bynario, basée dans l'UE, a été directement pénalisée par les nouvelles restrictions d'Apple sur les rapports de vulnérabilités, illustrant l'impact concret de cette politique sur les chercheurs en sécurité européens.
Bynario a trouvé une faille critique sur macOS en trois semaines avec ChatGPT, et Apple a refusé de la regarder à cause de son propre plafond anti-spam. C'est le paradoxe du moment : l'IA démultiplie la découverte de vulnérabilités plus vite que les éditeurs savent les trier, et les chercheurs légitimes payent la note collective. Bon, sur le papier, augmenter son quota "à tout moment" ça sonne bien, mais dans les faits il a fallu que le Financial Times appelle Apple pour débloquer un bug à 200 000 dollars sur le marché noir. Chrome qui double ses patchs hebdo, Apple qui accélère ses mises à jour : le secteur entier est en train de rattraper un rythme qu'il n'a pas choisi.