Apple limita le segnalazioni bug dopo l’ondata AI

Apple limita le segnalazioni nel suo programma bug bounty per contrastare l’aumento di falsi bug generati dall’intelligenza artificiale.

Apple ha deciso di limitare il numero di vulnerabilità che i ricercatori possono segnalare tramite il suo programma di bug bounty. La decisione arriva dopo un’ondata di segnalazioni di bassa qualità generate dall’uso di intelligenza artificiale, che spesso porta a bug inesistenti o poco rilevanti. L’aumento di questi falsi positivi rischia di soffocare le vere segnalazioni, complicando il lavoro dei team di sicurezza e rallentando la risoluzione delle falle reali.

AI, bug inesistenti e nuove regole

Negli ultimi mesi, molti ricercatori hanno iniziato a utilizzare strumenti come ChatGPT per individuare vulnerabilità in macOS e altri sistemi Apple. Un esempio concreto arriva dalla startup Bynario, che in sole tre settimane ha identificato oltre cinquanta possibili bug grazie all’assistenza dell’AI. Tuttavia, tra questi, alcune segnalazioni si sono rivelate infondate o irrilevanti, mentre almeno una vulnerabilità grave – capace di concedere accesso illimitato a un Mac – rischiava di rimanere ignorata a causa dei limiti imposti da Apple.

Bynario ha potuto inviare solo otto report nel 2025 e altri cinque nel 2026, prima di raggiungere la soglia massima stabilita dall’azienda. Il fondatore della startup ha sottolineato come il settore stia vivendo un momento complicato: le aziende ricevono una quantità enorme di segnalazioni e distinguere quelle autentiche sta diventando una sfida quotidiana.

Cosa cambia per i ricercatori?

Da ora in poi, ogni ricercatore potrà avere solo un numero limitato di segnalazioni aperte contemporaneamente. Apple, però, offre la possibilità di richiedere un incremento di questa soglia, per evitare che falle critiche passino inosservate. Questo equilibrio tra automazione e controllo umano è diventato necessario: se da un lato l’AI ha permesso di scoprire molte più vulnerabilità (come dimostrano le quasi 90 falle corrette nell’ultimo aggiornamento di iOS 26.6), dall’altro rischia di generare troppo rumore e rallentare i processi di verifica.

Il programma bug bounty di Apple resta tra i più generosi, con ricompense che possono superare i cinque milioni di dollari per le catene di exploit più sofisticate e per chi individua falle nei software beta o aggira la Lockdown Mode. La nuova politica, però, obbliga tutti – ricercatori, aziende e Apple stessa – a ripensare il modo in cui si sfrutta l’intelligenza artificiale nella caccia ai bug, puntando a qualità piuttosto che a quantità.

Fonte