AI குப்பைகள் Apple Bug Bounty திட்டத்தை முடக்குகின்றன, $200,000 மதிப்புள்ள macOS குறைபாட்டை மறைக்கின்றன

Generative AI-ன் எழுச்சி இணையப் பாதுகாப்பில் (cybersecurity) ஒரு எதிர்பாராத போர்க்களத்தை உருவாக்கி வருகிறது; தரம் குறைந்த, தானியங்கி அறிக்கைகள் பாரம்பரிய பாதிப்பு வெளிப்படுத்தும் வழிமுறைகளை (vulnerability disclosure pipelines) மூழ்கடிக்கின்றன. $200,000 வரை மதிப்புள்ள ஒரு முக்கியமான macOS குறைபாடு, Apple-ன் bug bounty சமர்ப்பிக்கும் வரம்பு "AI குப்பைகளால்" (AI slop) தீர்ந்துவிட்ட காரணத்தால், சமீபத்தில் தெரிவிக்கப்படாமல் போனது.

இணையப் பாதுகாப்பில் "AI குப்பைகளின்" பாதிப்பு

Large Language Models (LLMs) எளிதாகக் கிடைப்பதால், "குறைந்த முயற்சி" கொண்ட புதிய வகை பாதுகாப்பு ஆராய்ச்சி உருவாகியுள்ளது. பாதுகாப்பு ஆராய்ச்சியாளர்கள் பெருமளவிலான bug அறிக்கைகளை உருவாக்க AI-ஐப் பயன்படுத்துகின்றனர்; இவற்றில் பல "hallucinated" எனப்படும் கற்பனையான பாதிப்புகளைக் கொண்டுள்ளன—அதாவது, இல்லாத ஒரு பாதுகாப்பு குறைபாட்டை AI தவறாகக் கண்டறிந்து தெரிவிக்கும் தொழில்நுட்பத் தவறுகள் இவை.

இந்தத் தானியங்கி, தரம் குறைந்த தரவுகளின் பெருக்கம், தனது பொறியியல் வளங்களைப் பாதுகாக்க Apple நிறுவனத்தை கடுமையான நடவடிக்கைகளை எடுக்கத் தூண்டியுள்ளது. தேவையற்ற இரைச்சலைத் தவிர்க்க, ஆராய்ச்சியாளர்கள் சமர்ப்பிக்கக்கூடிய bug அறிக்கைகளின் எண்ணிக்கையை Apple இப்போது வரம்பு நிர்ணயித்துள்ளதுடன், அடுத்த சமர்ப்பிப்பிற்கு இடையில் கட்டாய 30 நாள் இடைவெளியையும் (cooldown period) நடைமுறைப்படுத்தியுள்ளது. இது வழிமுறைத் திறனை (pipeline efficiency) பராமரிக்கச் செய்யப்பட்டாலும், இந்தத் தடைகள் அந்தச் சூழலில் ஆபத்தான மறைவிடங்களை (blind spots) உருவாக்குகின்றன.

ஒதுக்கீடுகளால் மௌனமாக்கப்பட்ட $200,000 மதிப்புள்ள பாதிப்பு

இந்தத் தடையின் நிஜ உலக விளைவுகளை இத்தாலிய இணையப் பாதுகாப்பு ஸ்டார்ட்அப் நிறுவனமான Bynario சுட்டிக்காட்டியுள்ளது. தாக்குபவர்களுக்கு ஒரு இலக்கு இயந்திரத்தின் (target machine) மீது முழு கட்டுப்பாட்டையும் வழங்கக்கூடிய ஒரு முக்கியமான macOS பாதிப்பை அந்த நிறுவனம் கண்டறிந்தது. அந்தப் பாதிப்பின் தீவிரத்தன்மை இருந்தபோதிலும், மற்ற ஆராய்ச்சியாளர்களால் சமர்ப்பிக்கும் வரம்பு ஏற்கனவே எட்டப்பட்டிருந்ததால், Bynario அதை Apple-ன் அதிகாரப்பூர்வ வழிகள் மூலம் தெரிவிக்க முடியாமல் போனது.

Bynario-வின் CEO Alfredo Pesoli, இந்த குறிப்பிட்ட பாதிப்பின் கருப்புச் சந்தை மதிப்பு $100,000 முதல் $200,000 வரை இருக்கும் என்று மதிப்பிடுகிறார். இந்த அறிக்கைக்குப் பிறகு Apple நிறுவனம் Bynario-வைத் தொடர்பு கொண்டாலும், இந்தச் சம்பவம் வளர்ந்து வரும் ஒரு அமைப்பு ரீதியான ஆபத்தை வலியுறுத்துகிறது: தானியங்கி இரைச்சல் அதிக பாதிப்பை ஏற்படுத்தும் பிழைகளைத் தெரிவிப்பதைத் தடுக்கும்போது, ஒட்டுமொத்த பயனர்களும் zero-day அச்சுறுத்தல்களுக்கு உள்ளாகிறார்கள்.

AI சார்ந்த பாதுகாப்பை நோக்கிய மாற்றம்

AI மூலம் உருவாக்கப்படும் இரைச்சலுக்கு எதிரான போராட்டம், பெரிய தொழில்நுட்ப நிறுவனங்கள் பாதிப்பு மேலாண்மையை (vulnerability management) அணுகும் முறையில் மாற்றத்தை ஏற்படுத்தி வருகிறது. வெளி ஆராய்ச்சியாளர்கள் சமர்ப்பிக்கும் வரம்புகளால் சிரமப்படும் நிலையில், Apple தனது உள்நாட்டு AI திறன்களை மேம்படுத்துவதில் அதிக கவனம் செலுத்தி வருகிறது. நிறுவனம் தற்போது தனது சொந்த codebases-க்குள் பாதிப்புகளை முன்கூட்டியே கண்டறிய Anthropic மற்றும் OpenAI ஆகியவற்றின் மாதிரிகளைப் பயன்படுத்தி வருகிறது.

இந்தப் போக்கு bug bounty சூழலில் ஒரு அடிப்படை பரிணாமத்தைக் காட்டுகிறது. Sophos நிறுவனத்தைச் சேர்ந்த Rafe Pilling குறிப்பிட்டது போல, bug bounty திட்டங்களின் பங்கு, பாதிப்புகளைக் கண்டறிவதிலிருந்து அவற்றை "இயந்திர வேகத்தில்" (at machine speed) சரிபார்ப்பது என்ற நிலைக்கு மாறி வருகிறது. பாதுகாப்பு குழுக்களின் முதன்மை சவால் இனி பிழைகளைக் கண்டறிவது மட்டுமல்ல, உண்மையான ஊடுருவல்களுக்கும் (genuine exploits) Generative AI-ன் அதிகப்படியான கற்பனையான பிழைகளுக்கும் இடையிலான வேறுபாட்டைக் கண்டறிவதே ஆகும் என்ற ஒரு யுகத்திற்கு நாம்ள் நுழைகிறோம்.

முக்கியக் குறிப்புகள்

• அமைப்பு ரீதியான தடைகள்: AI மூலம் உருவாக்கப்பட்ட "hallucinated" bug அறிக்கைகள், Apple போன்ற நிறுவனங்களைச் சமர்ப்பிக்கும் வரம்புகள் மற்றும் cooldown கால அவகாசங்களை நடைமுறைப்படுத்தத் தூண்டுகின்றன; இது தெரியாமல் முக்கியமான, அதிக மதிப்புள்ள குறைபாடுகளைத் தெரிவிப்பதைத் தடுக்கக்கூடும்.
• பொருளாதாரத் தாக்கம்: Bynario கண்டறிந்த macOS குறைபாடு போன்ற அதிக தீவிரத்தன்மை கொண்ட பாதிப்புகள், மிகப்பெரிய கருப்புச் சந்தை மதிப்பைக் (அதிகபட்சம் $200,000) கொண்டுள்ளன; இதனால் அவற்றைக் கண்டறிவதில் ஏற்படும் தாமதம் ஒரு குறிப்பிடத்தக்க நிதி மற்றும் பாதுகாப்பு அபாயத்தை ஏற்படுத்துகிறது.
• கண்டறிதலின் எதிர்காலம்: தானியங்கி வெளி அச்சுறுத்தல்களின் இரைச்சல் மற்றும் வேகத்தை எதிர்கொள்ள, தொழில்நுட்ப ஜாம்பவான்கள் (Tech giants) உள்நாட்டு, AI சார்ந்த பாதிப்புத் தேடலை (OpenAI மற்றும் Anthropic மாதிரிகளைப் பயன்படுத்தி) நோக்கித் திரும்புகின்றனர்.