Apple、AIによる未検証のバグ報告急増を受けてバグ報奨金プログラムの新規報告数に上限を設定

Apple社は、レビューキューに寄せられる報告件数がAIによる未検証の発見によって増加したことを受け、バグ報奨金プログラムへの一部提出を制限しています。

6月に導入されたこの制限では、研究者1人あたりが同時に保持できる未解決の脆弱性報告数に上限が設けられました。報告によれば、この非公開の上限に達した研究者は、再度報告を提出するまでに30日間待たされるとされていますが、追加案件や緊急性の高い発見については容量の追加を申請できるとのことです。

AIツールは、正当な脆弱性を発見できる一方で、同じくらいの速度で説得力のある誤警報も生成してしまいます。件数ベースの上限は、レビュー担当者が状況をコントロールし直す助けになるかもしれませんが、信頼性の高い報告までもが不正確な報告と一緒に遅延してしまう可能性があります。

AI支援による発見にも依然として証拠が必要

AI任せの雑な報告は、一見すると洗練されているように見えても、実際にはAIが生成した架空の内容や、理論上の推測、十分に検証されていない発見に基づいていることがあります。こうした提出物は、レビュー担当者が問題を再現したり影響を評価したりするための十分な証拠を伴わないままバグ報奨金プログラムに届いてしまいます。

Appleの報奨金ガイドラインでは、動作するエクスプロイトまたは信頼性のある概念実証（PoC）、番号付きの再現手順、そしてセキュリティへの影響についての説明が求められています。これらの規定の下、同社は未検証のAI提出が繰り返された場合、当該研究者の未解決報告を180日間停止する措置を取ることができます。停止が2回を超えると、プログラムからの除名につながる可能性もあります。

研究者が発見内容を自らテストし検証している限り、AI支援は依然として対象として認められています。直近のセキュリティ勧告では、AnthropicのClaudeやOpenAIのCodex Securityを活用した成果がクレジットされており、AI支援による脆弱性調査が有効な発見を生み出し得るという証拠が積み重なっています。

有効なMacの脆弱性が提出上限に直面

Financial Times紙は、ミラノを拠点とするセキュリティ新興企業Bynarioがこの未解決報告数の上限に達したことをきっかけに、この制限措置を公に取り上げました。同社の7人のチームによれば、ChatGPTの支援により、わずか3週間で50件以上のmacOSの潜在的な問題が特定されたといいます。

同社によると、そのうちの1件はmacOSのScreen Sharing(画面共有)機能に関するもので、旧式のVirtual Network Computing(VNC)パスワード認証が有効になっている場合に、保護されたデータが露出したり、root権限でファイルが作成されたりする可能性があったとのことです。当初、割り当て上限のためにこの報告を提出することができませんでしたが、その後Appleが研究者らに連絡を取り、この脆弱性について調査を行いました。

macOS Tahoe 26.6の公式勧告では、Bynarioの創業者であるAlfredo Pesoli氏を含む3名の研究者がCVE-2026-43760についてクレジットされています。関連するmacOS Sonoma 14.8.8の勧告にも、同じ修正内容が記載されています。

リスクの高い報告には上限を回避する手段が必要 

ブロックされた報告に高リスクの脆弱性を示す証拠が含まれている場合、30日間の待機は長すぎる可能性があります。 

再現性と研究者の実績に基づいた迅速なレビュー体制を整えれば、Appleは自動生成による大量投稿にレビューキューを再び開放することなく、信頼できる例外的な報告を見極められるようになるかもしれません。例えばGitHubでは、研究者の実績履歴を初期の報奨金アクセス権の設定に活用しており、貢献者のこれまでの実績を提出権限に反映させる方法の一例を示しています。

この上限によって報告をブロックされた研究者は、追加の容量を申請する際に緊急性を説明し、開示までの完全な経緯記録を保持しておくべきです。

Mac管理者は、この提出ポリシー自体に対して緊急対応を行う必要はありません。ただし、端末を管理する担当者は、最新のmacOSアップデートが適用されていることを確認し、パッチ適用待ちのシステムについてはScreen SharingおよびVNCの旧式認証設定を見直すとともに、セキュリティ修正の適用を遅らせないようにすべきです。

あわせて読みたい: Lasso社は、AIエージェントのハーネス（実行環境の構成）を変更することで、レッドチーム演習の結果に大きな差異が生じ得ることを明らかにしました。