Apple、AI生成の脆弱性報告急増で受付数制限を導入

Appleが自社のバグ報奨金（製品の脆弱性を発見した研究者に報奨金を支払う制度）プログラムにおいて、1人のセキュリティ研究者が同時に保持できる未解決の脆弱性報告数に上限と30日間の冷却期間を設けたことが明らかになりました。LLM（大規模言語モデル。文章やコードを自動生成するAI技術）などのAIツールを活用した不完全な自動生成報告の激増に対応し、検証チームの負担を軽減する狙いがあります。

AIツールの急速な進化とバグ報告のノイズ化

英Financial Timesの報道によると、Appleは2026年6月より、社内セキュリティポータルを介した脆弱性報告に対して件数制限および30日間の冷却期間を導入しました。規定数以上の報告を行う場合は、個別に枠の増加を申請する必要があります。

生成AI技術の進展により、攻撃シナリオの立案やコードの脆弱性探索が極めて容易になりました。その結果、検証に耐えない低品質な成果物や誤検知を含む大量の報告（いわゆる「AIスロップ」）が送信され、セキュリティチームのレビュー作業を圧迫する事態が業界全域で表面化しています。

一方で、AIツールを使った正当なセキュリティ研究も進んでいます。研究チームのCalif.ioは、Anthropicの「Mythos Preview」モデルを用いて、わずか5日間でM5プロセッサを搭載したMacのカーネルメモリ汚染エクスプロイトを構築したと公表しています。AppleもiOS 26.5.2などのセキュリティアップデートにおいて、OpenAIやAnthropicのAIツールを活用した研究者への謝辞を掲載しています。

業界のAIスロップ対策と未確認事項の整理

脆弱性報告への上限設定や審査体制の見直しは、Apple以外の主要プラットフォームにも広がっています。

• GitHubの対応​: 2026年7月、GitHubはバグ報奨金プログラムに階層制（ティア制）を導入し、検証済み研究者からの報告とAI生成報告を識別する仕組みを整備しました。
• ​未確認事項​: Appleが具体的に1研究者あたり何件の未解決報告を上限と設定したか、および枠拡大のリクエストに対する承認速度などの詳細は公式に公表されていません。

スタートアップのBynarioが今年5件のバグを報告した段階で追加送信を制限される事例も発生しており、Appleは個別対応を進めているとコメントしています。

分析と展望

AIによるコード解析技術は、セキュリティ検証の速度を急激に向上させた反面、プラットフォーム側の評価処理能力を超過させるリスクを露呈させました。

今後は単に報告を受け付けるだけでなく、提出段階でのノイズフィルタリングや研究者の事前認証制度の拡充が重要となります。開発者や研究者にとっては、AIツールを補助的に使いつつも正確な検証ログを添えて提出する姿勢が求められます。

引用元：9to5Mac