Empresa limita número de vulnerabilidades que cada investigador pode submeter para travar o aumento de denúncias de baixa qualidade
Tecnológica afirma que a inteligência artificial está a acelerar a descoberta de falhas, mas também a sobrecarregar as equipas de segurança com falsos alertas
A Apple reforçou as regras do seu programa de comunicação de vulnerabilidades para responder ao crescimento de relatórios de segurança gerados com recurso à inteligência artificial. A empresa passou a limitar o número de falhas que cada investigador pode manter em análise ao mesmo tempo, procurando reduzir a sobrecarga causada por submissões de baixa qualidade.
Segundo a empresa, o aumento da utilização de ferramentas de IA permitiu identificar vulnerabilidades reais com maior rapidez, mas também originou uma vaga de relatórios especulativos ou incorrectos, obrigando as equipas de segurança a validar manualmente cada caso antes de determinar se existe, de facto, uma falha.
Entre as novas medidas está um limite para o número de relatórios em aberto por investigador e um período de espera de 30 dias quando esse limite é atingido. A Apple esclarece, no entanto, que investigadores com descobertas legítimas podem solicitar o aumento da quota para garantir que vulnerabilidades críticas continuam a chegar rapidamente às equipas responsáveis.
O caso ganhou destaque depois da empresa italiana de cibersegurança Bynario afirmar ter utilizado o ChatGPT para identificar mais de 50 vulnerabilidades no macOS em apenas três semanas. A empresa revelou que uma das falhas, considerada crítica por permitir a escalada de privilégios, não pôde ser submetida de imediato porque o limite de relatórios já tinha sido atingido. A Apple confirmou que está agora a analisar essas descobertas.
Apesar do endurecimento das regras, a Apple sublinha que também está a recorrer à inteligência artificial para melhorar a triagem dos relatórios recebidos. Nas mais recentes actualizações de segurança, a empresa atribuiu créditos a ferramentas da Anthropic e da OpenAI pela identificação de diversas vulnerabilidades corrigidas nas suas plataformas.
Especialistas em cibersegurança consideram que o problema afecta todo o sector tecnológico. A facilidade com que modelos de IA conseguem gerar hipóteses de vulnerabilidades aumentou significativamente o número de submissões, transferindo o principal desafio da descoberta de falhas para a sua validação e priorização.
A Apple procura encontrar um equilíbrio entre incentivar a investigação em segurança e impedir que a explosão de relatórios produzidos com IA comprometa a capacidade de responder rapidamente às vulnerabilidades realmente críticas.
