Una startup italiana trova 50 falle con l'IA in macOS: Apple corre ai ripari e cambia le regole

Apple ha modificato il proprio sistema interno per la gestione delle segnalazioni di sicurezza dopo un significativo aumento dei report generati con strumenti di intelligenza artificiale. La società di Cupertino ha introdotto un limite temporaneo al numero di vulnerabilità che ogni ricercatore può sottoporre contemporaneamente al team dedicato alla sicurezza, una misura pensata per affrontare il crescente volume di richieste e la presenza di numerosi falsi positivi.

Secondo quanto riportato dal Financial Times, Apple ha adottato il nuovo approccio a giugno, dopo che il proprio sistema di revisione è stato messo sotto pressione da una quantità crescente di segnalazioni definite internamente come "AI slop", ovvero report prodotti con il supporto dell'intelligenza artificiale che individuano presunti problemi di sicurezza poi rivelatisi inesistenti o poco rilevanti. Il fenomeno riguarda l'intero settore della cybersecurity.

Un caso emblematico arriva da Bynario, startup italiana di sicurezza informatica con sede a Milano (tre dei suoi fondatori hanno precedentemente lavorato per Hacking Team), che ha dichiarato di aver utilizzato ChatGPT per analizzare l'ultima versione di macOS, individuando oltre 50 vulnerabilità in circa tre settimane.

Tra i problemi identificati ci sarebbe anche una vulnerabilità classificabile come privilege escalation exploit chain, ovvero una catena di falle che potrebbe consentire a un aggressore di ottenere privilegi amministrativi completi su un computer Apple partendo da un accesso limitato al sistema.

La società italiana ha però dichiarato di non essere riuscita inizialmente a comunicare questa vulnerabilità ad Apple a causa dei nuovi limiti imposti al numero di report inviabili. "È un momento molto difficile per il settore", ha dichiarato Alfredo Pesoli, amministratore delegato e cofondatore di Bynario. "I responsabili della manutenzione dei software e i produttori sono stati sommersi dalla quantità enorme di bug individuati".

Apple ha successivamente comunicato di essere entrata in contatto con Bynario e di essere impegnata nell'analisi delle segnalazioni ricevute.

Il nuovo sistema introdotto dall'azienda prevede un tetto massimo ai report aperti contemporaneamente e un periodo di attesa di 30 giorni prima di poter effettuare ulteriori invii oltre la soglia stabilita. I ricercatori possono comunque richiedere un aumento del limite quando ritengono di aver individuato problemi critici.

"Con il crescente volume di segnalazioni di sicurezza generate dall'intelligenza artificiale in tutto il settore, abbiamo recentemente modificato il numero di nuovi report che un ricercatore può avere aperti contemporaneamente", ha spiegato Apple in una dichiarazione. "I ricercatori possono facilmente richiedere un aumento del limite in qualsiasi momento per garantire che le segnalazioni critiche raggiungano i nostri team di sicurezza".

Apple stessa utilizza strumenti basati sull'AI per migliorare la protezione dei propri sistemi. Negli aggiornamenti di sicurezza pubblicati questa settimana per i suoi sistemi operativi, l'azienda ha attribuito ad alcuni strumenti sviluppati da Anthropic e OpenAI il contributo nell'identificazione di diverse vulnerabilità.

Gli aggiornamenti hanno incluso circa cinque volte il numero di correzioni rispetto ai normali cicli precedenti, evidenziando il ritmo con cui l'intelligenza artificiale sta modificando sia le tecniche di attacco sia quelle di difesa. La sfida futura sarà riuscire a distinguere rapidamente tra il rumore generato dall'automazione e le minacce reali che richiedono interventi immediati.