AIが脆弱性報告を大量生産、Appleがバグバウンティに提出上限を設定

脆弱性探しはもともと忍耐力と技術力が試される作業だったが、今では審査チームがAIの生産量に耐えられるかどうかが試されるようになった。

英Financial Timesが確認した情報によると、Appleは傘下のbug bountyプログラムに調整を加えた。理由は、AIが生成した脆弱性報告の件数があまりに膨大で、社内審査チームが対応しきれなくなったためだ。AIが確かにプログラムの脆弱性発見を助けているのは事実だが、こうした提出件数が処理能力をはるかに超えてしまうと、本当に人間のセキュリティ研究者が発見した問題がその中に埋もれてしまいやすくなる。

Appleの説明によれば、今回の調整には「社内セキュリティ窓口経由の提出に上限を設け、30日間のクールダウン期間を付与する」ことが含まれるという。つまり、1人の研究者やチームが一定期間内に送信できる脆弱性報告の件数には制限があり、この上限を超えたい場合は別途特別申請を行う必要がある。

これは一社だけの悩みではない。Googleも今年に入って自社のバグバウンティプログラムを見直し、報奨金の構成を「解決が難しい問題」寄りに傾ける方針を取った。つまり、AIが簡単には見つけられないような脆弱性により高い報奨金を出すことで、本当に価値のある発見とAIが大量生産できる些細な問題とを区別しようというわけだ。

両社の調整方向は実のところ一致している。AIによる脆弱性発見を拒否するのではなく、制度そのものを再設計し、審査リソースを本当に時間をかける価値のあるものに振り向けようとしているのだ。