फाइनेंसियल टाइम्स की रिपोर्ट के अनुसार, Apple ने एक शोधकर्ता द्वारा एक बार में कितनी भेद्यता रिपोर्ट दर्ज की जा सकती हैं, उसकी सीमा तय कर दी है, जब उसकी सुरक्षा टीम AI-जनरेटेड सबमिशन से भर गई थी जो ऐसे दोषों का आविष्कार करते थे जो मौजूद नहीं थे।

इस सीमा से उसे पहले ही एक वास्तविक नुकसान हो चुका है। मिलान स्थित साइबर सुरक्षा स्टार्टअप बायनेरियो ने अखबार को बताया कि उसने OpenAI के ChatGPT का उपयोग करके तीन हफ्तों में macOS के नवीनतम संस्करण में 50 से अधिक बगों का पता लगाया। उनमें से एक प्रिविलेज एस्केलेशन एक्सप्लॉइट चेन थी, जो एक प्रकार की खामी है जो हमलावर को मशीन पर अप्रतिबंधित नियंत्रण दे देती है।

बायनेरियो इसकी रिपोर्ट नहीं कर सका, क्योंकि Apple ने पहले ही आगे के सबमिशन को अस्वीकार कर दिया था। मुख्य कार्यकारी अल्फ्रेडो पेसोली ने आपराधिक बाजार में इस एक्सप्लॉइट का मूल्य $100,000 और $200,000 के बीच बताया, और कहा कि "रखरखाव करने वाले और विक्रेता खोजे जा रहे बगों की भारी संख्या से भर गए हैं।" Apple ने एफटी को बताया कि वह अब कंपनी के संपर्क में है और उसके काम की समीक्षा कर रहा है।

Apple ने जून में कार्रवाई की, अपने सुरक्षा पोर्टल पर एक सीमा और 30-दिन की कूल-ऑफ अवधि जोड़ी, जिसमें शोधकर्ताओं को एक बड़े कोटा के लिए आवेदन करना आवश्यक था। प्रत्येक कथित दोष को अभी भी एक मानव द्वारा पुष्टि करने की आवश्यकता है, हालांकि Apple आंतरिक रूप से इस ढेर को छाँटने के लिए AI का उपयोग कर रहा है। Apple ने कहा कि उसने "हाल ही में उन नई रिपोर्टों की संख्या को समायोजित किया है जो एक शोधकर्ता एक बार में खोल सकता है," और शोधकर्ता किसी भी समय उच्च सीमा के लिए पूछ सकते हैं।

वही उपकरण Apple के लिए भी काम कर रहे हैं। पिछले सप्ताह के सुरक्षा अपडेट में, इसने एंथ्रोपिक और OpenAI सॉफ्टवेयर को खामियों को उजागर करने का श्रेय दिया, और एफटी के अनुसार, एक सामान्य चक्र के सुधारों से लगभग पांच गुना अधिक सुधार किए।

एक “सबमिशन की बाढ़”

हाल के महीनों में AI बग रिपोर्टिंग की मात्रा का मुद्दा बढ़ गया है। मई में, सुरक्षा फर्म बगक्राउड, जिसके ग्राहकों में OpenAI शामिल है, ने कहा कि मार्च में तीन हफ्तों में उसके प्लेटफॉर्म के माध्यम से सबमिशन चार गुना से अधिक हो गए, और उनमें से अधिकांश नकली थे। हैकरवन और नेक्स्टक्लाउड ने अप्रैल में अपने भुगतान कार्यक्रमों को निलंबित कर दिया, नेक्स्टक्लाउड ने कहा कि "गंभीरता की परवाह किए बिना" कोई इनाम नहीं दिया जाएगा जब तक कि उसे कम-प्रयास वाली रिपोर्टों को फ़िल्टर करने का कोई तरीका नहीं मिल जाता।

यह मात्रा दिए जा रहे पुरस्कारों से प्रेरित है, मेटा, माइक्रोसॉफ्ट, Apple और Crypto.com ने 2025 में उनके बीच कम से कम $58 मिलियन का भुगतान किया, जबकि Apple का अपना शीर्ष स्तर एक ही खोज के लिए $5 मिलियन तक पहुँचता है।

इसी समय, एलएलएम (लार्ज लैंग्वेज मॉडल्स) बगों को खोजने में तेजी से माहिर हो रहे हैं। मार्च में, एंथ्रोपिक ने मिथोस पेश किया, एक साइबर-केंद्रित मॉडल जिसे उसने शुरू में प्रोजेक्ट ग्लासिंग के तहत चुनिंदा प्रौद्योगिकी कंपनियों, बैंकों और शोधकर्ताओं तक सीमित कर दिया था। मोज़िला ने कहा कि उसने आंतरिक परीक्षण के दौरान फ़ायरफ़ॉक्स में 271 कमजोरियों का पता लगाया।

मई में, वियतनाम स्थित सुरक्षा स्टार्टअप कैलिफ ने कहा कि उसने macOS कर्नेल मेमोरी करप्शन एक्सप्लॉइट बनाने के लिए एक पूर्वावलोकन संस्करण का उपयोग किया था जो मेमोरी इंटीग्रिटी एन्फोर्समेंट से बचने में सक्षम था। Apple ने पिछले सितंबर में उपभोक्ता ऑपरेटिंग सिस्टम के इतिहास में सबसे बड़े मेमोरी सुरक्षा अपग्रेड के रूप में इस रक्षा की घोषणा की थी। कैलिफ ने 25 अप्रैल को बग खोजे और 1 मई तक एक कार्यशील एक्सप्लॉइट तैयार कर लिया था।

रिपोर्ट दर्ज करने के बजाय, कैलिफ एक्सप्लॉइट को Apple के कैलिफोर्निया मुख्यालय में व्यक्तिगत रूप से ले गया, यह कहते हुए कि वह "सबमिशन की बाढ़ में दबने" से बचना चाहता था जिसमें हैकिंग प्रतियोगिता Pwn2Own के प्रतिभागियों को फंसाया गया था। बायनेरियो ने तीन महीने बाद पोर्टल पर कोशिश की लेकिन प्रवेश नहीं कर सका।

AI क्रिप्टो खतरे

खतरों का पता लगाने के साथ-साथ, AI का उपयोग क्रिप्टो स्पेस में एक्सप्लॉइट्स को इंजीनियर करने के लिए भी किया जा रहा है। कोल्डकार्ड वॉलेट निर्माता कॉइनकाइट ने सुझाव दिया है कि AI का उपयोग उसके ओपन सोर्स फर्मवेयर में एक बग का पता लगाने के लिए किया गया होगा जो पांच साल तक किसी का ध्यान नहीं गया, जिससे हमलावरों को उसके हार्डवेयर वॉलेट से $100 मिलियन से अधिक चोरी करने में मदद मिली।

यह Zcash के खुलासा करने के दो महीने बाद आया है कि शोधकर्ता टेलर हॉर्नबी ने, क्लाउड ओपस 4.8 के साथ काम करते हुए, अपने ऑर्चर्ड शील्डेड पूल में कोड की दो लाइनें पाई थीं, जिसने चार साल तक ZEC की पता न लगने वाली जालसाज़ी की अनुमति दी थी — जिससे पिछले महीने गोपनीयता कॉइन को भेद्यता को दूर करने के लिए आयरनवुड अपग्रेड जारी करना पड़ा।