Apple akhirnya tidak tahan, memberikan masa tunggu (cooling-off period) untuk program bounty bug miliknya.
Darurat, bug terlalu banyak, tidak sempat ditinjau, gimana ya.... haha, sudah! tidak usah dilihat😈.
Program bounty bug, yang diusulkan pada 2016, awalnya dimaksudkan untuk mengundang peneliti keamanan mengirimkan kerentanan keamanan dalam perangkat lunak, perangkat keras, dan layanan Apple, dan akan mendapatkan hadiah uang tunai setelah konfirmasi efektif melalui tinjauan manual.
Kemudian kumpulan hadiah terus ditingkatkan. Pada Oktober 2025, Apple mengumumkan peningkatan besar pada program bounty: peneliti yang menemukan ancaman paling serius dan kompleks dapat memperoleh 5 juta dolar AS (sekitar 33,75 juta yuan RMB).
Namun saat ini, AI secara signifikan menurunkan ambang batas untuk menemukan kerentanan, banyak pemula menggunakan ChatGPT untuk memindai kode secara massal, mengirimkan laporan secara massal, di mana banyak di antaranya mengandung kerentanan palsu seperti halusinasi AI.

Ini membuat seluruh tim keamanan Apple benar-benar kewalahan.
Pada 2 Agustus, Apple telah menetapkan batas jumlah maksimum pengiriman kerentanan dan masa tunggu 30 hari pada portal keamanan internalnya.
Sistem Pertahanan Terkuat Apple Dibobol dengan Mudah oleh AI
Pada September 2025, Apple mengumumkan fitur keamanan bernama "Memory Integrity Execution" (MIE) bersamaan dengan peluncuran iPhone 17.
Teknologi ini dikembangkan selama lima tahun, berdasarkan kemampuan perangkat keras chip buatan sendiri Apple dan integrasi mendalam dengan sistem operasi, memberikan perlindungan keamanan memori yang ekstrem untuk perangkat.
Apple menyebut fitur ini sebagai:
Peningkatan paling signifikan dalam sejarah keamanan memori sistem operasi tingkat konsumen.

Diagram prinsip teknologi MIE: Bagaimana MIE menghentikan serangan memori
Namun 8 bulan kemudian, industri keamanan siber mengalami guncangan kognitif kolektif.
Pada Mei 2026, perusahaan penelitian keamanan Calif mengungkapkan eksploitasi kerentanan macOS chip Apple M5 yang pertama kali dipublikasikan. Karyawannya dengan bantuan model Mythos Preview dari Claude, menghubungkan dua kerentanan macOS menjadi satu rantai peningkatan izin lokal yang lengkap, melewati perlindungan MIE.
Dan, tim ini (hanya 3 orang) dari "kami menemukan sesuatu yang menarik" hingga "kami mendapatkan root shell yang dapat bekerja pada perangkat keras konsumen paling aman Apple" hanya membutuhkan 5 hari.
Kerentanan yang begitu serius akhirnya membuat dua peneliti Calif secara pribadi berkendara ke kantor pusat Apple untuk menyerahkan laporan 55 halaman secara langsung, agar tidak tenggelam oleh banyaknya laporan.
Mythos Preview, diluncurkan oleh Claude pada April tahun ini. Klaim resmi menyatakan bahwa model ini telah mencapai terobosan kualitatif di bidang keamanan dan pemrograman, dan telah secara mandiri menemukan ribuan kerentanan kritis di "setiap" sistem operasi utama dan browser web utama. Namun karena model "kemampuan ofensif terlalu kuat, jika dipublikasikan akan memicu bencana besar", API hanya dibuka untuk 40 mitra kunci.
Teknologi AI yang berkembang begitu cepat ini sedang menyerang seluruh sistem pengungkapan kerentanan.
Diprediksi, jumlah pendaftaran CVE (daftar kerentanan keamanan siber yang diungkapkan publik) pada tahun 2026 akan mencapai 66.000, 46% lebih tinggi dari perkiraan awal.

Namun, seperti yang ditemukan Apple, laporan kerentanan yang dihasilkan AI ini mengandung banyak noise dan halusinasi AI. Dan meninjau laporan-laporan ini telah menjadi hal yang lebih memakan energi.
Ini juga merupakan titik sakit bagi seluruh industri keamanan.
Ini adalah periode yang cukup sulit dalam industri, pemelihara dan vendor telah dibanjiri oleh banyak bug.
Pendiri Curl mengatakan, dia menerima 20 laporan kerentanan dalam tiga minggu pertama tahun 2026, di mana "0 adalah kerentanan keamanan yang nyata". Google pada Maret mengumumkan tidak lagi menerima laporan kerentanan yang dihasilkan AI; platform cloud sumber terbuka Nextcloud pada April menangguhkan program bounty bug-nya; GitHub pada Juli sangat mengurangi jumlah hadiah bounty bug publik, dan membuka jalur VIP yang hanya untuk peneliti undangan.
Kemacetan saluran pengajuan ini telah menimbulkan konsekuensi keamanan nyata, atau malah akan membuat proses keamanan itu sendiri menjadi masalah keamanan.
Misalnya, perusahaan startup keamanan Italia Bynario menggunakan ChatGPT dalam tiga minggu untuk menemukan lebih dari 50 kerentanan di macOS. Di antaranya juga termasuk satu kerentanan yang dapat mengontrol macOS sepenuhnya.
Namun, ketika tim mengajukan kerentanan "yang di pasar gelap dapat dijual seharga 100.000 hingga 200.000 dolar AS" ini, mereka menemukan bahwa Apple telah memblokir pintu pengajuan.
Pembaruan Keamanan Apple Pertama Kali Berterima Kasih kepada AI
Kabar baiknya: Pembela juga dapat memperoleh alat AI yang sama.
Kabar buruknya: Pembela harus menjaga operasi normal seluruh lingkungan TI, menguji kompatibilitas, mengoordinasikan jendela rilis, memastikan pembaruan tidak membuat sistem produksi down. Dan penyerang? Hanya perlu menemukan satu pintu masuk.
Pada 27 Juli 2026, Apple merilis pembaruan keamanan macOS Tahoe 26.6. Dalam pembaruan ini, Apple memperbaiki 194 kerentanan keamanan independen.
Rilis ini juga merupakan pertama kalinya Apple secara resmi berterima kasih kepada AI dalam perbaikan keamanan.

Ditemukan bekerja sama dengan Claude
Di antaranya, Claude dari Anthropic dan Codex Security dari OpenAI masing-masing mendapatkan ucapan terima kasih untuk tiga kerentanan, AI Red Team dari NVIDIA mendapatkan dua ucapan terima kasih, dan model GLM dari Z.ai mendapatkan satu ucapan terima kasih.
(Meskipun tiga minggu sebelumnya, Apple sedang menuntut OpenAI di pengadilan karena mencuri rahasia dagang.)
Apple secara terbuka menyatakan, alat AI mempercepat kecepatan rilis pembaruan keamanan kami. Dari data pembaruan keamanan sejak rilis macOS Tahoe, kita dapat melihat gambaran tren percepatan ini:
Pada versi 26.5 sudah muncul tanda tangan alat AI; 26.5.2 sebagai pembaruan versi kecil yang tidak biasa, menambahkan perbaikan untuk 38 CVE lagi; 26.6 dirilis sebulan kemudian, kembali memecahkan rekor mencapai 155.
Namun yang tidak dapat dipastikan adalah, apakah ritme rilis frekuensi tinggi ini sendiri akan menjadi variabel keamanan baru?
Lagi pula, Apple terkenal dengan kontrol ketat atas ritme rilisnya, setiap pembaruan sistem sebelum didorong ke miliaran perangkat, harus melalui pengujian internal, validasi kompatibilitas, dan rilis bertahap secara bertahap.
Dengan demikian, mempercepat rilis bukanlah keputusan yang sembrono, ini berarti tim keamanan Apple telah membuat penilaian: menunggu jendela pembaruan reguler berikutnya untuk memperbaiki kerentanan ini, risikonya sudah tidak dapat diterima.
Siklus pengungkapan kerentanan sudah berubah bentuk, ketika AI memampatkan siklus penemuan kerentanan menjadi beberapa hari, ritme pembaruan keamanan bulanan mungkin akan berubah menjadi periode "paparan" yang panjang.
Referensi:
[1]https://security.apple.com/blog/apple-security-bounty-evolved/
[2]https://security.apple.com/blog/memory-integrity-enforcement/
[3]https://support.apple.com/en-us/128067
[4]https://www.ft.com/content/4532122d-90f2-4433-9df6-ca99d8a141d2
Artikel ini berasal dari akun WeChat publik "Quantum Bit" (ID: QbitAI), penulis: Cheng Qian






