Apple begrenzt Meldungen im Sicherheitsprämienprogramm wegen zunehmender KI-generierter Einsendungen

Apple hat Beschränkungen für die Anzahl der eingereichten Schwachstellenmeldungen sowie eine Wartezeit von 30 Tagen für bestimmte Berichte eingeführt, nachdem die Zahl minderwertiger KI-generierter Meldungen deutlich zugenommen hatte.

Die Einschränkungen betreffen Sicherheitsforscher, die Apples internes Portal zur Meldung von Sicherheitslücken nutzen. Apple scheint diesen Schritt unternommen zu haben, nachdem die Sicherheitsteams des Unternehmens eine große Zahl von Berichten erhalten hatten, denen die erforderliche Qualität oder aussagekräftige Nachweise für eine ordnungsgemäße Untersuchung fehlten.

Die Änderungen haben unter Sicherheitsforschern Besorgnis ausgelöst. Während Apple die Flut minderwertiger Meldungen eindämmen möchte, befürchten Forscher, dass die Begrenzungen die Prüfung schwerwiegender Sicherheitslücken verzögern könnten.

Apple reagiert auf KI-generierte Schwachstellenmeldungen

KI-Tools können Forschern dabei helfen, potenzielle Sicherheitsprobleme schneller zu erkennen. Gleichzeitig können sie jedoch auch ungenaue oder unvollständige Ergebnisse erzeugen, deren Überprüfung einen erheblichen manuellen Aufwand erfordert.

Apple begrenzt nun die Anzahl offener Untersuchungen, die ein Forscher gleichzeitig haben darf. Darüber hinaus wurde für neue Einreichungen über das Meldesystem eine Wartezeit von 30 Tagen eingeführt.

Forscher können Apple kontaktieren und bei berechtigtem Bedarf eine höhere Obergrenze beantragen. Die neuen Regeln könnten jedoch Teams betreffen, die mehrere berechtigte Schwachstellen gleichzeitig melden möchten.

Apple betont, dass jede Meldung von Menschen geprüft wird. Gleichzeitig setzt das Unternehmen KI ein, um Berichte während des aktuellen Anstiegs der Einreichungen besser zu priorisieren.

Bynario meldet mehr als 50 MacBook-Schwachstellen

Das italienische Cybersicherheitsunternehmen Bynario soll die neuen Beschränkungen zuerst bemerkt haben.

Laut der Financial Times entdeckte das Unternehmen mithilfe von ChatGPT innerhalb von drei Wochen mehr als 50 potenzielle Schwachstellen in den neuesten MacBook-Betriebssystemen.

Bynario erklärte, dass eines der Ergebnisse eine Kette zur Rechteausweitung umfasste, mit der ein Angreifer die vollständige Kontrolle über ein betroffenes MacBook erlangen könnte. Nach Angaben des Unternehmens verhinderten die neuen Meldebeschränkungen zunächst, dass diese Schwachstelle über den üblichen Weg gemeldet werden konnte.

Apple nahm später Kontakt zu Bynario auf, um die eingereichten Berichte zu prüfen.

Das Unternehmen hatte im Jahr 2025 bereits acht Schwachstellen an Apple gemeldet und vor Einführung der neuen Beschränkungen in diesem Jahr weitere fünf.

Forscher befürchten langsamere Sicherheitsupdates

Das Apple Security Bounty-Programm soll Sicherheitsforscher dazu ermutigen, Schwachstellen verantwortungsvoll zu melden. Die jüngsten Änderungen werfen jedoch die Frage auf, ob auch berechtigte Meldungen künftig längere Bearbeitungszeiten erfahren könnten.

Sicherheitsteams müssen häufig zwischen echten Schwachstellen, Doppelmeldungen, fehlerhaften Behauptungen und Berichten ohne nachvollziehbare technische Auswirkungen unterscheiden. KI-generierte Einreichungen können diesen Arbeitsaufwand erheblich erhöhen.

Gleichzeitig können Verzögerungen problematisch sein, wenn ein Forscher eine besonders schwerwiegende Schwachstelle entdeckt. Apple wurde bereits in der Vergangenheit für lange Reaktionszeiten kritisiert. Erst kürzlich äußerten Forscher Bedenken hinsichtlich einer gemeldeten Schwachstelle in der Funktion Hide My Email, durch die die tatsächlichen E-Mail-Adressen von Nutzern offengelegt werden könnten.

Apple muss nun zwei gegensätzliche Anforderungen miteinander vereinbaren. Einerseits gilt es, die Sicherheitsteams vor einer Flut minderwertiger Meldungen zu schützen. Andererseits müssen seriöse Sicherheitsforscher schwerwiegende Schwachstellen weiterhin schnell und ohne unnötige Hürden melden können.