Apple submergée par les rapports de bugs générés par IA
Apple traverse une période difficile face à l'afflux de rapports de bugs générés par intelligence artificielle. Depuis juin, le constructeur impose un plafond et une période de carence de 30 jours pour les signalements soumis via son portail web dédié. Apple a confirmé au Financial Times avoir « récemment ajusté le nombre de nouveaux rapports qu'un chercheur peut avoir ouverts simultanément » face à l'augmentation des signalements générés par IA dans l'ensemble du secteur. Cette restriction a eu une conséquence concrète pour l'équipe italienne Bynario, qui a découvert une cinquantaine de failles dans la dernière version de macOS en trois semaines à l'aide de ChatGPT, dont une vulnérabilité sérieuse permettant une élévation de privilèges et la prise de contrôle d'un Mac. Bynario n'a pas pu soumettre ce rapport en raison des nouvelles limites, et Apple n'a accepté de l'examiner qu'après la sollicitation du Financial Times. En 2025, l'équipe avait soumis huit rapports à Apple, dont un corrigé en novembre, et cinq signalements supplémentaires depuis le début de l'année avant de se heurter au plafond.
Cette situation illustre un risque réel pour la sécurité des utilisateurs : la faille non signalée touchait le système Memory Integrity Enforcement, dévoilé en septembre dernier pour contrer les attaques par corruption de mémoire, une vulnérabilité de ce type pouvant se revendre jusqu'à 200 000 dollars sur le marché noir. Alfredo Pesoli, directeur général et cofondateur de Bynario, reconnaît que « les responsables de projets et les éditeurs sont submergés par la quantité de bugs découverts », qualifiant la période d'« très difficile pour le secteur ». Pour Apple, l'enjeu est de préserver la capacité de ses équipes à vérifier chaque signalement et développer des correctifs sans être noyées sous des rapports de qualité inégale, tout en évitant de fermer la porte à des découvertes de vulnérabilités critiques. L'entreprise assure que les chercheurs peuvent « facilement demander à tout moment » une augmentation de leur quota pour les rapports jugés critiques.
Ce phénomène dépasse largement Apple. L'entreprise a bonifié l'an dernier son programme de bug bounty, offrant jusqu'à 2 millions de dollars, et 5 millions avec bonus, pour les failles les plus importantes, ce qui attise l'intérêt de nombreux chercheurs amateurs équipés d'outils d'IA. Sa dernière livraison de mises à jour a corrigé 87 vulnérabilités dans iOS 26.6 et 155 dans macOS 26.6, plusieurs correctifs ayant été rendus possibles grâce aux IA d'Anthropic et d'OpenAI. Apple a par ailleurs annoncé accélérer son processus de distribution de mises à jour pour absorber ces volumes. D'autres géants du secteur subissent la même pression : Google a annoncé la semaine dernière que Chrome passerait à deux mises à jour de sécurité hebdomadaires au lieu d'une, en raison de l'essor des vulnérabilités détectées par IA. Le secteur cherche désormais comment absorber cette déferlante de signalements sans sacrifier ni la réactivité face aux menaces réelles, ni la relation de confiance avec les chercheurs en sécurité légitimes.
L'équipe italienne Bynario, basée dans l'UE, a été directement pénalisée par les nouvelles restrictions d'Apple sur les rapports de vulnérabilités, illustrant l'impact concret de cette politique sur les chercheurs en sécurité européens.
Vu une erreur factuelle dans cet article ? Signalez-la. Toutes les corrections valides sont publiées sur /corrections.



