AI 지원으로 취약점 보고가 급증하자, 애플이 연구자들의 제출 수를 제한하다.

BlockBeats 뉴스, 8월 2일, <금융타임스> 보도에 따르면, 애플은 대량의 연구자들이 AI 모델을 사용해 소프트웨어 취약점을 찾으면서 내부 보안 팀이 접수한 보고가 급증했고, 6월부터 연구자들이 동시에 제출할 수 있는 취약점 수를 제한하고 30일간의 쿨다운 기간을 설정했다. 애플은 일부 AI 생성 보고서가 보안 위험을 허위로 구성해 검토 시스템에 부담을 주고 있다고 밝혔다.

이탈리아 사이버보안 스타트업 Bynario는 OpenAI의 ChatGPT를 사용해 3주 만에 최신 버전 MacBook 운영체제에서 50개 이상의 취약점을 발견했으며, 그중에는 권한 상승 공격 체인이 포함되어 있어 공격자가 이를 통해 애플 컴퓨터의 전체 시스템 제어권을 얻을 수 있다고 밝혔다. 그러나 애플의 보고 수 제한으로 인해 해당 회사는 한동안 관련 취약점을 제출할 수 없었다. 애플은 현재 Bynario와 연락을 취해 검토를 시작했다고 밝혔다.

애플은 모든 보안 보고가 여전히 수동 확인이 필요하며, 회사 내부에서도 AI를 사용해 급증하는 보고를 분류하고 있다고 밝혔다. 연구자들은 심각한 취약점이 보안 팀에 전달될 수 있도록 제출 한도 상향을 신청할 수 있다. Bynario는 자사가 발견한 권한 상승 취약점의 사이버 범죄 블랙마켓 가치가 10만~20만 달러에 달할 수 있다고 추정한다.

애플은 작년에 새로운 취약점 현상금 보상 메커니즘을 도입했으며, 소프트웨어에서 가장 심각하고 복잡한 위협 범주를 발견한 경우 최대 500만 달러의 보상을 지급한다.

애플이 이번 주 발표한 시스템 보안 업데이트는 또한 Anthropic과 OpenAI의 도구가 여러 기기 취약점 발견을 지원했으며, 이번 수정 건수는 기존 업데이트 주기의 약 5배에 달한다고 공개했다. 보안 회사 Sophos는 AI가 실제 취약점 발견 효율을 높이는 동시에 대량의 저품질 보고를 생성하고 있으며, 취약점 현상금 프로그램의 난점이 '취약점 발견'에서 신속한 검증, 분류, 대응으로 전환되고 있다고 밝혔다.