KI-Slop verstopft Apples Bug-Bounty-Programm und verschleiert 200.000-Dollar-macOS-Schwachstelle

Der Anstieg generativer KI schafft eine unerwartete Frontlinie in der Cybersicherheit, da qualitativ minderwertige, automatisierte Berichte die traditionellen Pipelines zur Offenlegung von Schwachstellen überfluten. Eine bedeutende macOS-Schwachstelle, die mit bis zu 200.000 $ bewertet wurde, blieb kürzlich ungemeldet, weil das Kontingent für Bug-Bounty-Einreichungen von Apple durch „KI-Slop“ erschöpft war.

Die Kosten von „KI-Slop“ in der Cybersicherheit

Da Large Language Models (LLMs) immer zugänglicher werden, ist eine neue Welle von „Low-Effort“-Sicherheitsforschung entstanden. Sicherheitsforscher nutzen zunehmend KI, um massive Mengen an Bug-Berichten zu produzieren, von denen viele „halluzinierte“ Schwachstellen enthalten – technische Fehler, bei denen die KI fälschlicherweise eine nicht existierende Sicherheitslücke identifiziert.

Dieser Zustrom automatisierter, minderwertiger Daten hat Apple dazu gezwungen, drastische Maßnahmen zu ergreifen, um seine Engineering-Ressourcen zu schützen. Um das Rauschen zu bewältigen, begrenzt Apple nun die Anzahl der Bug-Berichte, die Forscher einreichen können, und schreibt eine obligatorische 30-tägige Abkühlphase zwischen den Einreichungen vor. Während diese Einschränkungen darauf abzielen, die Effizienz der Pipeline aufrechtzuerhalten, schaffen sie gefährliche blinde Flecken im Ökosystem.

Eine 200.000-Dollar-Schwachstelle, zum Schweigen gebracht durch Kontingente

Die realen Konsequenzen dieses Engpasses wurden durch das italienische Cybersicherheits-Startup Bynario verdeutlicht. Das Unternehmen entdeckte eine kritische macOS-Schwachstelle, die es Angreifern ermöglichen könnte, die vollständige Kontrolle über ein Zielgerät zu erlangen. Trotz der Schwere der Lücke konnte Bynario diese nicht über die offiziellen Kanäle von Apple melden, da das Einreichungskontingent bereits durch andere Forscher ausgeschöpft war.

Alfredo Pesoli, CEO von Bynario, schätzt den Schwarzmarktwert dieser spezifischen Schwachstelle auf zwischen 100.000 $ und 200.000 $. Obwohl Apple sich nach den Berichten mit Bynario in Verbindung gesetzt hat, unterstreicht der Vorfall ein wachsendes systemisches Risiko: Wenn automatisches Rauschen die Meldung von hochwirksamen Bugs verhindert, bleibt die gesamte Nutzerbasis Zero-Day-Bedrohungen ausgesetzt.

Der Wandel hin zu KI-gestützter Verteidigung

Der Kampf gegen KI-generiertes Rauschen treibt einen Wandel in der Art und Weise voran, wie Big-Tech-Unternehmen das Schwachstellenmanagement angehen. Während externe Forscher mit Einreichungsbeschränkungen zu kämpfen haben, setzt Apple verstärkt auf interne KI-Kapazitäten. Das Unternehmen nutzt derzeit Modelle von Anthropic und OpenAI, um proaktiv nach Schwachstellen in seinen eigenen Codebasen zu suchen.

Dieser Trend deutet auf eine grundlegende Entwicklung in der Bug-Bounty-Landschaft hin. Wie Rafe Pilling von Sophos anmerkte, verschiebt sich die Rolle von Bug-Bounty-Programmen von der Entdeckung von Schwachstellen hin zu deren Validierung „mit maschineller Geschwindigkeit“. Wir treten in eine Ära ein, in der die primäre Herausforderung für Sicherheitsteams nicht mehr nur darin besteht, Bugs zu finden, sondern zwischen echten Exploits und den hochfrequenten Halluzinationen generativer KI zu unterscheiden.

Wichtigste Erkenntnisse

• Systemische Engpässe: KI-generierte, „halluzinierte“ Bug-Berichte zwingen Unternehmen wie Apple dazu, Einreichungsbeschränkungen und Abkühlphasen einzuführen, was unbeabsichtigt die Meldung kritischer, hochwertiger Schwachstellen blockieren kann.
• Wirtschaftliche Auswirkungen: Schwere Schwachstellen, wie die von Bynario entdeckte macOS-Lücke, haben massive Schwarzmarktwertungen (bis zu 200.000 $), was deren verzögerte Entdeckung zu einem erheblichen finanziellen und sicherheitstechnischen Risiko macht.
• Die Zukunft der Entdeckung: Tech-Giganten bewegen sich zunehmend in Richtung interner, KI-gestützter Schwachstellensuche (unter Verwendung von Modellen von OpenAI und Anthropic), um dem Rauschen und der Geschwindigkeit automatisierter externer Bedrohungen entgegenzuwirken.