News Wegen KI-Flut: Apple deckelt Zahl der Sicherheitsmeldungen pro Forscher

[DennisK.]

Apple hat bestätigt, dass im Sicherheitsportal des Unternehmens eine Obergrenze für Meldungen eingeführt wurde, verbunden mit einer Wartezeit bis zum Einreichen neuer Sicherheitslücken. Damit reagiert der Konzern auf die gestiegene Anzahl an Meldungen durch künstliche Intelligenz. Die Obergrenze lässt sich per Antrag vergrößern.

Zur News: Wegen KI-Flut: Apple deckelt Zahl der Sicherheitsmeldungen pro Forscher

 

[Luthredon]

'Was ich nicht weiß, macht mich nicht heiß' .

Ich meine, Apple hätte auch verkünden können, dass man aufgrund vieler Meldungen nun länger bräuchte, den Meldungen nachzugehen bla bla. Aber 'verschont uns bloß mit mehr als x Sicherheitslücken' ist nicht nur praktischer, sondern hebt auch die Statistik und entbindet rechtlich. Dass die x+1te Meldung eventuell die gefährlichste aller Lücken sein könnte, scheint jedenfalls gar nicht zu interessieren.

Apple sollte die Vorgehensweise auch für Kundenbeschwerden und -requests einführen.
"Sorry, der Speicher für Kundenwünsche für diesen Monat ist leider voll. War das hilfreich {JA}-{NEIN}".
Dann würde die Kundenzufriedenheit auf dem Papier auch deutlich steigen und Apple müsste sich generell nicht so viel Genöle vom Kunden anhören - diesem notwendigen Übel um Geld zu verdienen.

 

[CPat]

Das Problem ist halt Masse statt Klasse.
Wenn jetzt eine Person 1700 Meldungen pro Woche macht, die ein Chatbot ausgespuckt hat, sitzt Apple ewig dran die alle durch zu prüfen, wie viele davon tatsächlich existieren und ob diese dann auch irgend eine Relevanz hinsichtlich der Gefahr bzw. Sicherheit haben.
Am Ende sind es vielleicht 3 Sicherheitslücken aus 1700 Meldungen. Meldungen können im Volumen womöglich sogar schneller generiert werden, als Apple die Prüfung selbiger schafft.
Das könnte sogar in Richtung Denial-Of-Service gehen, um die Bearbeitung echter Lücken zu verlangsamen. Einfach endlose viele Einreichungen, um die Abläufe im Unternehmen so zu bremsen.

Mit einer Deckelung verlagert man das Prüfen der Chatbot-Ausgabe an andere - vor der Einreichung. Diese werden dann nicht länger 1700 Meldungen pro Woche machen, sondern müssen zunächst selbst kontrollieren, was der Chatbot ausgegeben hat. Sodass am Ende dann idealerweise noch 3 Meldungen eingereicht werden zu den tatsächlich gefundenen Sicherheitslücken.

 

[Clanker]

Warum wird keine KI eingesetzt, um die Meldungen zusammenzufassen und abzugleichen?

 

[FrAGgi]

@Clanker Weil auch das Ressourcen schluckt.
Es kann ja nicht die Lösung sein eine KI einsetzen zu müssen um von KIs erstellten Müll zu bereinigen, nur weil die Leute mal auf gut Glück Haufenweise vermeitnliche Sicherheitslücken einreichen.

 

[Stanzlinger]

Je Lücke, die man bei Apple nicht abladen kann, sollte dann öffentlich abgeladen werden...das könnte Apple animieren...oder im Darknet

 

[Helge01]

Von den eingereichten Sicherheitsmeldungen ist doch nur ein geringer Anteil relevant, der Rest ist der typische KI-Rotz.

Kenne einige Entwickler die so was gar nicht mehr annehmen, da das nur unnötig Zeit kostet und am Ende kaum was sinnvolles übrigbleibt.

 

[Clanker]

@FrAGgi
Ich habe keinen Einblick, wie es bei Apple abläuft.
Bei uns ist das aber eine der simpelsten Tätigkeiten von Data-Analysten, die zu >80 % automatisiert wurde. (inkl. KI)

Es geht nicht darum, Müll zu bereinigen, sondern darum, ihn zusammenzufassen und abzugleichen.
Für die Bereinigung sollte trotzdem noch ein Mensch zumindest als Kontrolle eingesetzt werden.

Grundsätzlich kann die Ressource Mensch durch die Ressource KI ersetzt werden, sobald es um wiederholende Tätigkeiten geht.

 

[Weyoun]

Warum wird keine KI eingesetzt, um die Meldungen zusammenzufassen und abzugleichen?

Und die gleiche KI fixt dann am besten gleich noch die Sicherheitslücken.

 

[Ranayna]

Es kann ja nicht die Lösung sein eine KI einsetzen zu müssen um von KIs erstellten Müll zu bereinigen, nur weil die Leute mal auf gut Glück Haufenweise vermeitnliche Sicherheitslücken einreichen.

Wie heisst einer der IT-Merksaetze so schoen: "Wir nutzen Computer, um Probleme zu loesen, die wir ohne Computer niemals haetten."

Kenne einige Entwickler die so was gar nicht mehr annehmen, da das nur unnötig Zeit kostet und am Ende kaum was sinnvolles übrigbleibt.

Der Entwickler von Curl war einer der ersten Open Source Entwickler, der das in die breitere Oeffentlichkeit gebracht hat. Er ist effektiv der einzige Entwickler des Curl Projektes, und nach seiner Aussage war er zeitweise nur damit beschaeftigt KI Bugreports auszuwerten.

@Clanker: Ich koennte mir gut vorstellen, dass sich das dann quasi aufschaukelt. Apple hat Kapazitaet Bugreports auszuwerten. Dann koennen noch mehr Leute mehr Reports schicken, bis sich der Prozess verlangsamt, weil Apples Ressourcen an ein Limit kommen. Apple erhoeht, und die Bug-Reports werden noch mehr.
Das waere dann eine unfassbare Ressourcenverschwendung fuer nichts und wieder nichts.

Das generelle Limitieren von Reports halte ich fuer ein legitimes Mittel. Ernsthafte Sicherheitsforscher muessen dann halt selber vorfiltern und gegebenenfalls priorisieren. Sich also mit den Reports auch beschaeftigen.
Was ich bei ernsthaften Sicherheitsforschern so oder so erwarte, was aber die "KI-Forscher", die nur auf ein Bug-Bounty aus sind, in der Regel nicht machen.

 

[FrAGgi]

Ich habe keinen Einblick, wie es bei Apple abläuft.

Ich natürlich auch nicht.

Bei uns ist das aber eine der simpelsten Tätigkeiten von Data-Analysten, die zu >80 % automatisiert wurde. (inkl. KI)

Nur weil es möglich ist, muss man es ja nicht machen

Ich vermute einfach, dass Apple erkannt hat, dass viele der Einreichungen tatsächlich nur Müll sind.
Leute, die einfach alles was die KI als Sicherheitslücke ausspuckt an Apple schicken und auf das große Geld hoffen, ohne das selbst gegenzuchecken.

Damit man jetzt nicht irgendein System davor schaltet, was diesen Abfall auch noch jongliert - denn genau das kostet am Ende eben doch Zeit, Geld und sonstige Ressourcen, begrenzt man einfach schon in der Stufe davor, nämlich bei den Leute die Einreichen.

Wie Beitrag #3 ja bereits schön beschrieben hat, muss man sich nun vorher überlegen, ob man jeden KI Pups an Apple sendet oder echte Sicherheitslücken.

Sagt ja keiner, dass für diese legitimen Meldungen nicht bereits KI zum filtern, zusammenfassen und sortieren zum Einsatz kommt.

 

[M@tze]

Ich meine, Apple hätte auch verkünden können, dass man aufgrund vieler Meldungen nun länger bräuchte, den Meldungen nachzugehen bla bla. Aber 'verschont uns bloß mit mehr als x Sicherheitslücken' ist nicht nur praktischer, sondern hebt auch die Statistik und entbindet rechtlich. Dass die x+1te Meldung eventuell die gefährlichste aller Lücken sein könnte, scheint jedenfalls gar nicht zu interessieren.

Wieder typischer Fall von "Ich habe keine Ahnung, gebe aber mal meinen Senf ab, weil geht ja um Apple und da kann man mit negativen Kommentaren hier auf jeden Fall Pluspunkte sammeln!"?!

Dass das Bug Bounty Program irgendwelche DAU's dazu verleiten könnte, auch ohne das entsprechende Wissen einfach mal die KI loszulassen und alles einzureichen was ausgespuckt wird (Viel hilft viel und irgendein Treffer kann ja mal dabei sein) kam Dir nicht als Option in den Sinn?

Mit den Sicherheitsmeldungen verbunden sind potenzielle Millionenzahlungen. Das Bug Bounty Program von Apple sieht für bestätigte Sicherheitsmeldungen Belohnungen von bis zu 2 Millionen US-Dollar vor, mit Boni lassen sich die Auszahlungen auf bis zu 5 Millionen US-Dollar steigern.

 

[cmi777]

Der Entwickler von Curl war einer der ersten Open Source Entwickler, der das in die breitere Oeffentlichkeit gebracht hat. Er ist effektiv der einzige Entwickler des Curl Projektes, und nach seiner Aussage war er zeitweise nur damit beschaeftigt KI Bugreports auszuwerten.

Und der hat seine Meinung mittlerweile auch öffentlich revidiert bzw. einsortiert (Beispiel), da die Modelle (oder die Einreichungen) seit seinem Rant soviel besser geworden sind und die Querreferenzen und Kombinationen verschiedener Aspekte tatsächliche Lücken entdecken können. Auch für ihn ist AI-Slop (bzw. die Menge davon) weiterhin ein Problem, aber dieses "das ist eh alles nur Müll" in dieser Absolutheit ist falsch bzw. gefährlich.

 

[mae]

Dass das Bug Bounty Program irgendwelche DAU's dazu verleiten könnte, auch ohne das entsprechende Wissen einfach mal die KI loszulassen und alles einzureichen was ausgespuckt wird

Dazu braucht es nicht einmal ein Bug-Bounty-Programm, nach allem, was ich so lese, ist die Aussicht auf einen CVE, der dann in Linux, curl, oder sonst einer Software mit genuegend Reputation gefixt wird, genug, um fuer massenweise Einreichungen von Entdeckungen mit Hilfe von KI zu sorgen. Viele davon sind Duplikate. Da hat schon jemand die Uebersetzung von CVE als "CV enhancer" (Lebenslaufaufhuebscher) als Motivation genannt, dass diese Security Researcher das also deshalb machen, weil sie den CVE dann in ihrem Lebenslauf angeben koennen, und damit bei der naechsten Jobsuche bessere Karten haben. Ob CVEs fuer diesen Zweck noch lange taugen, bezweifle ich allerdings.

 

[1776]

Coole Idee. Koennten wir auch ne Quote auf die Anzahl von KI News pro Tag einfuehren?

 

[alyk.brevin]

Es kann ja nicht die Lösung sein eine KI einsetzen zu müssen um von KIs erstellten Müll zu bereinigen

noch nie davon gehört, das leute heutzutage aus ein paar stichpunkte eine ausformulierte email generieren, die beim empfänger dann wieder in ein paar stichpunkte zusammengefasst wird?

 

[Hexxxer76]

Das wirkt wie Symptombekämpfung. Statt nur die Anzahl der Meldungen zu deckeln, sollte Apple bessere Verfahren entwickeln, um KI-generierte Berichte effizient zu filtern und die relevanten Funde schneller zu erkennen.

 

[Floxxwhite]

Ich meine, Apple hätte auch verkünden können, dass man aufgrund vieler Meldungen nun länger bräuchte, den Meldungen nachzugehen bla bla. Aber 'verschont uns bloß mit mehr als x Sicherheitslücken' ist nicht nur praktischer, sondern hebt auch die Statistik und entbindet rechtlich. Dass die x+1te Meldung eventuell die gefährlichste aller Lücken sein könnte, scheint jedenfalls gar nicht zu interessieren.

Denke da wird auch eine krasse Redundanz drin sein und wird schon Sinn machen, einen Anreiz zu schaffen die „wertvollsten“ also schlimmsten zu melden

 

[Nuklon]

Und die gleiche KI fixt dann am besten gleich noch die Sicherheitslücken.

Also eine KI findet Sicherheitslücken, die massenhaft eingereicht werden und diese werden von einer KI gesichtet und priorisiert. Und eine dritte KI (womöglich immer die gleiche) fixt dann die Lücke.

KI Hersteller mögen das.

 

[andr_gin]

Dann werden die Sicherheitsforscher die Lücken eben nicht mehr an Apple melden. Geheimdienste oder das Darknet zahlt sowieso besser und wenn die Lücken erst einmal in der freien Wildbahn ausgenutzt werden wird die Dringlichkeit bei Apple kaum abnehmen.
Und Apple kann es sich ohne Probleme leisten mehr Entwickler zu dem Thema abzustellen. Aktuell gibt es am Markt auch genug qualifizierte Entwickler. Da gibt es keine Ausreden.

Viel problematischer sehe ich die Lage bei diversen Open Source Projekten, die nicht die Mittel dafür haben, gleichzeitig aber von Konzernen wie Google mit Meldungen zu bombadiert werden ohne selbst Fixes beizutragen.