Face à une recrudescence de rapports de failles générés par l’intelligence artificielle et non vérifiés, Apple a instauré de nouvelles restrictions dans son programme de primes aux bugs. Les chercheurs font désormais face à des limites d’envoi et à des périodes de suspension en cas de soumissions abusives.
L’industrie de la cybersécurité fait face à une transformation majeure de ses programmes de détection de vulnérabilités, poussant les géants technologiques à revoir leurs règles.
Les nouvelles mesures restrictives d’Apple
Pour contrer l’afflux massif de faux positifs et de rapports automatisés, Apple limite désormais le nombre de signalements ouverts par chaque chercheur en cybersécurité. Un délai de carence obligatoire de 30 jours a également été instauré entre chaque soumission. D’après les informations rapportées, les contributeurs qui continueraient à soumettre de manière répétée des données produites par des outils d’intelligence artificielle sans validation humaine préalable risquent des sanctions sévères. Ces mesures prévoient des suspensions pouvant aller jusqu’à six mois, voire une exclusion définitive du programme de primes.
Face à cette charge opérationnelle accrue, le fabricant de l’iPhone tente de s’adapter en combinant des solutions internes d’intelligence artificielle avec des exigences de seuil beaucoup plus strictes. Parmi ces nouvelles conditions figure notamment l’obligation de présenter une preuve de concept concrète et fonctionnelle (PoC).
Une tendance générale dans l’écosystème de la cybersécurité
Cette décision s’inscrit dans un mouvement plus large qui touche l’ensemble de l’écosystème numérique. Si l’intelligence artificielle offre la possibilité de repérer rapidement des failles potentielles, elle engendre dans le même temps une saturation des équipes de tri. La plateforme Bugcrowd a ainsi enregistré une multiplication par quatre de ses soumissions en l’espace de quelques semaines seulement, dont une grande majorité s’est révélée non pertinente.
D’autres acteurs majeurs de l’open source et du développement ont dû prendre des décisions similaires. Le projet de code ouvert curl a choisi de suspendre son programme de primes après avoir fait face à une véritable explosion de rapports indésirables basés sur l’IA. De son côté, Nextcloud a appliqué une politique équivalente, tandis que GitHub a ajusté la structure de ses récompenses pour faire face à ce phénomène.
La valeur contrastée de l’intelligence artificielle et la hausse des récompenses
Cependant, les outils automatisés ne sont pas tous dépourvus d’intérêt. Des cabinets de recherche spécialisés, à l’instar de Bynario, ont réussi à identifier rapidement des dizaines de vulnérabilités potentielles au sein des systèmes macOS. L’une d’entre elles, liée au partage d’écran, s’est avérée suffisamment critique pour obtenir un identifiant CVE officiel et faire l’objet d’un correctif validé.
Le nœud du problème réside dans la phase indispensable d’authentification. Tandis que l’IA génère des scénarios d’attaque à un rythme élevé, chaque découverte réclame une analyse manuelle approfondie, une reproduction minutieuse de l’incident et une évaluation concrète du risque réel.
À ne pas manquer