Ringkas: Apple membatasi jumlah laporan kerentanan terbuka yang dapat dikirim peneliti melalui portalnya, tetapi langkah ini dinilai keliru karena serangan berbantuan AI terus meningkat.
Apple baru-baru ini mengonfirmasi bahwa perusahaan membatasi jumlah laporan kerentanan terbuka yang dapat dikirim peneliti melalui portalnya. Setelah batas tercapai, peneliti harus menunggu masa jeda 30 hari. Apple mengambil langkah ini karena lonjakan laporan bug yang dibuat AI membanjiri proses peninjauan, tetapi kebijakan tersebut dinilai sebagai respons yang keliru pada saat ancaman keamanan berbantuan AI meningkat.
Apple @ Work dipersembahkan secara eksklusif oleh Mosyle, satu-satunya Apple Unified Platform. Mosyle mengintegrasikan seluruh solusi yang diperlukan untuk menerapkan, mengelola, dan melindungi perangkat Apple di tempat kerja secara mulus dan otomatis dalam satu platform kelas profesional. Lebih dari 45.000 organisasi mempercayai Mosyle untuk menyiapkan jutaan perangkat Apple agar siap digunakan, tanpa usaha besar dan dengan biaya terjangkau. Mosyle mengajak pembaca meminta uji coba yang diperpanjang untuk memahami mengapa layanan tersebut diklaim sebagai solusi yang dibutuhkan untuk bekerja dengan Apple.
Tentang Apple @ Work: Bradley Chambers telah menjadi administrator TI Apple sejak 2009. Berdasarkan pengalamannya menerapkan dan mengelola firewall, switch, sistem manajemen perangkat seluler, Wi-Fi kelas enterprise, ribuan Mac, dan ribuan iPad, Bradley membahas cara manajer TI Apple menerapkan perangkat Apple, membangun jaringan pendukung, melatih pengguna, berbagi pengalaman langsung dari pengelolaan TI, serta cara Apple dapat meningkatkan produknya untuk departemen TI.
Apa batasan bug bounty Apple?
Apple mengonfirmasi bahwa mereka memperkenalkan batas pengiriman laporan dan masa jeda 30 hari melalui portal keamanan internal pada Juni. Peneliti keamanan yang mencapai batas tersebut harus meminta kuota tambahan.
Apple menyebut kondisi ini sebagai masalah yang terjadi di seluruh industri, dan pernyataan itu tidak sepenuhnya keliru. Model bahasa besar (LLM), yaitu sistem AI yang mampu memahami dan menghasilkan bahasa, kini dapat menemukan kerentanan dengan cepat dan baik melalui cara yang mungkin tidak pernah ditemukan manusia. Akibatnya, tim peninjauan di berbagai perusahaan kesulitan mengimbangi volume laporan.
Namun, laporan Financial Times juga menceritakan kasus Bynario, perusahaan rintisan dengan tujuh karyawan. Pengiriman laporan perusahaan itu diblokir setelah mereka melaporkan lima bug kepada Apple tahun ini dan delapan bug pada 2025. Salah satu bug tersebut ditambal pada November.
Apple kini meninjau temuan Bynario, termasuk rangkaian eksploitasi eskalasi hak akses yang dapat memberi penyerang kendali penuh atas sebuah Mac. Kasus ini justru menunjukkan mengapa Apple seharusnya tidak membatasi jumlah laporan. Perlu ada pendekatan lain.
Peretasan Coldcard menunjukkan risikonya
Contoh nyata yang menjelaskan mengapa waktu penerapan batas ini mengkhawatirkan adalah peretasan Coldcard. Sejak akhir Juli, penyerang menguras Bitcoin senilai lebih dari 116 juta dolar AS dari ribuan alamat dompet perangkat keras.
Akar masalahnya adalah bug firmware yang diperkenalkan pada Maret 2021, sekitar lima tahun sebelumnya. Bug tersebut secara diam-diam membuat perangkat melewati generator angka acak perangkat keras yang sebenarnya, lalu menggunakan pengganti berbasis perangkat lunak yang jauh lebih lemah saat membuat kunci privat. Bug itu tidak ditemukan dan tidak dieksploitasi selama bertahun-tahun.
AI kemungkinan berperan dalam penemuan dan eksploitasi kelemahan tersebut secara luas. Terlepas dari apakah itu keseluruhan ceritanya atau bukan, poin yang lebih besar tetap sama: alat AI kini dapat menemukan kelemahan logika yang telah bertahun-tahun berada dalam kode dan mungkin tidak pernah ditemukan peneliti manusia melalui peninjauan manual.
Inilah alasan perburuan bug berbantuan AI penting saat ini, dan proses tersebut akan terus berlangsung terlepas dari apakah portal Apple memiliki ruang untuk menerima laporan atau tidak.
Mengapa batas laporan bukan solusi
Penyerang tidak memiliki batas pengiriman, sehingga peneliti juga seharusnya tidak dibatasi dengan cara yang sama. Penyerang tidak perlu menunggu jeda 30 hari di antara upaya eksploitasi dan tidak menunggu permintaan kenaikan kuota disetujui untuk terus mencari cara menembus sistem.
Jika pihak yang bertahan membatasi jumlah penelitian berbantuan AI yang sampai ke tim keamanan, sementara penyerang tidak memiliki pembatasan terhadap serangan berbantuan AI, kondisi itu menciptakan ketidakseimbangan dan masalah keamanan.
Laporan bug yang dihasilkan AI secara asal-asalan memang menjadi masalah operasional. Namun, solusi untuk persoalan triase adalah memperbaiki triase, bukan memperlambat pengiriman laporan hingga laporan yang sah ikut terhambat.
Bagi perusahaan teknologi, proses triase perlu ditingkatkan.
Apple @ Work dipersembahkan secara eksklusif oleh Mosyle, satu-satunya Apple Unified Platform. Mosyle mengintegrasikan seluruh solusi yang diperlukan untuk menerapkan, mengelola, dan melindungi perangkat Apple di tempat kerja secara mulus dan otomatis dalam satu platform kelas profesional. Lebih dari 45.000 organisasi mempercayai Mosyle untuk menyiapkan jutaan perangkat Apple agar siap digunakan, tanpa usaha besar dan dengan biaya terjangkau. Mosyle mengajak pembaca meminta uji coba yang diperpanjang untuk memahami mengapa layanan tersebut diklaim sebagai solusi yang dibutuhkan untuk bekerja dengan Apple.
FTC: Kami menggunakan tautan afiliasi otomatis yang menghasilkan pendapatan.
Intinya, lonjakan laporan berbantuan AI memang membebani proses peninjauan, tetapi pembatasan pengiriman dapat menghambat laporan kerentanan yang sah. Dalam pandangan artikel ini, Apple dan perusahaan teknologi lain perlu meningkatkan kemampuan triase, bukan membatasi peneliti dengan kuota dan masa jeda.
Poin penting
- Batas laporan bug bounty Apple
- Masa jeda 30 hari
- Laporan Bynario diblokir
- Peretasan Coldcard senilai 116 juta dolar
- Ancaman serangan berbantuan AI
