AppleがAIによる報告が殺到していることを受けバグ報告の提出件数に上限を設定

AIを活用したセキュリティ研究によってソフトウェアの脆弱(ぜいじゃく)性がこれまで以上のペースで発見されるようになっています。一方でAIが生成した質の低いバグ報告も急増しており、Appleはセキュリティ研究者がAppleのセキュリティチームに提出できる脆弱性報告数に上限を設ける対応を始めました。

Apple struggles to keep pace with AI ‘bug’ hunters | FINANCIAL TIMES
https://www.ft.com/content/4532122d-90f2-4433-9df6-ca99d8a141d2

AI is finding Apple security flaws faster than Apple can sort through them - Digital Trends
https://www.digitaltrends.com/computing/ai-is-finding-apple-security-flaws-faster-than-apple-can-sort-through-them/

Financial Timesが報じたところによると、Appleは2026年6月に大量のバグ申請件数を制限する措置を講じたとのこと。AIによって従来よりも短時間で大量の候補を発見できるようになった一方で、実際にはApple社内で「AIスロップ」と呼ばれている脆弱性ではない誤検出や内容が不十分な報告も大量に提出されるようになり、Appleが内容を確認する負担が大きくなっていました。

同様の事態はセキュリティ企業や開発チームの間で多発しています。セキュリティ企業の「HackerOne」やオープンソースのネットワークツール「cURL」の開発チームは、セキュリティの脆弱(ぜいじゃく)性を発見した研究者に報奨金を支払う「バグ報奨金プログラム」を実施していましたが、AIによりバグ発見のスピードおよびその数が向上したため従来の運営方法では対応が難しくなったほか、AIが生成した低品質な脆弱性報告が大量に届くようになっていたことで、プログラムを停止することを発表しています。

「インターネットバグ報奨金プログラム」が新規受付を停止、AIによりバグ発見数が増大したため - GIGAZINE

AppleはFinancial Timesに対し、「提出された報告を確認した上で、必要に応じて研究者ごとの上限を拡大している」と説明しています。Appleのセキュリティポータルを通じた情報提供には30日間の猶予期間を含む上限が設けられ、追加の提供を行う利用者は上限引き上げの申請を行う必要があります。

実際に、イタリアのサイバーセキュリティ企業・Bynarioは、OpenAIのChatGPTを利用してわずか3週間でmacOS Tahoeに50件以上の脆弱性を発見したものの、Appleの提出上限に達したことで一時的に新たな報告ができなくなったと説明しています。発見された脆弱性の中には、本来より高い権限を取得できてしまう脆弱性である「権限昇格」につながる重大な問題も含まれていたそうです。

一方でApple自身もAIを積極的に活用しています。同社はAIを利用して大量の脆弱性報告を分類・優先順位付けしているほか、最新のソフトウェアアップデートではAIを活用した研究によって発見された複数の脆弱性を修正したことも明らかにされました。

サイバーセキュリティ企業・Sophosの脅威インテリジェンス担当ディレクターであるラフ・ピリング氏は「すべてのソフトウェア企業にとっての課題は、AIがバグハンティングに『二重の影響』を与えていることです。つまり、アマチュア研究者は憶測に基づく報告を提出しやすくなった対応する企業にとってのデメリットと、熟練した研究者が深刻な脆弱性を発見しやすくなっているメリットが混在しています。その結果、バグ報奨金プログラムは、脆弱性を発見するという問題から、脆弱性を検証し、優先順位を付け、機械の速度で対応するという問題へと移行しつつあります」と語りました。

また、テクノロジー系ニュースサイト・Digital Trendsは、「AIを活用した研究は、すでにmacOSやSafari向けにリリースされた修正プログラムに貢献しています」と指摘した上で、「バグ報告件数を過度に制限すると、有益な発見が遅れる可能性がある一方、報告を無制限に受け付けると、もっともらしく見えるだけのナンセンスな情報にAppleのチームが手一杯になってしまう危険性があります」と述べました。AIによって脆弱性を発見する能力が急速に向上している一方で、企業側がそれらを検証・修正する速度は追いついていない現状が問題視されています。