Apple ปรับกฎของโครงการ Bug Bounty หรือโครงการมอบรางวัลให้ผู้ค้นพบช่องโหว่ด้านความปลอดภัย หลังบริษัทต้องรับมือกับรายงานจำนวนมากที่สร้างขึ้นด้วย AI ซึ่งบางส่วนมีคุณภาพต่ำหรือขาดข้อมูลที่เพียงพอต่อการตรวจสอบ
Apple ยืนยันกับ Financial Times ว่า บริษัทได้กำหนดเพดานจำนวนรายงานช่องโหว่ที่นักวิจัยสามารถเปิดค้างไว้พร้อมกัน รวมถึงเพิ่มระยะพักการส่งรายงานใหม่เป็นเวลา 30 วันผ่านระบบรับแจ้งปัญหาความปลอดภัยภายในของบริษัท
นักวิจัยที่ต้องการส่งรายงานมากกว่าจำนวนที่กำหนด จะต้องยื่นคำร้องเพื่อขอเพิ่มโควตา
มาตรการดังกล่าวเริ่มใช้ตั้งแต่เดือนมิถุนายนที่ผ่านมา เพื่อรับมือกับจำนวนรายงานช่องโหว่ที่เพิ่มขึ้นทั่วทั้งอุตสาหกรรม หลังโมเดลภาษาขนาดใหญ่หรือ LLM มีความสามารถมากขึ้นในการค้นหา เชื่อมโยง และทดลองโจมตีช่องโหว่หลายจุดต่อเนื่องกัน
แม้เครื่องมือ AI จะช่วยให้นักวิจัยค้นพบปัญหาด้านความปลอดภัยได้รวดเร็วขึ้น แต่จำนวนรายงานที่หลั่งไหลเข้ามาก็สร้างภาระให้ทีมตรวจสอบ ซึ่งต้องใช้เวลาแยกแยะว่ารายงานใดเป็นช่องโหว่จริง รายงานใดมีข้อมูลไม่ครบถ้วน และรายงานใดเป็นเพียงผลลัพธ์ที่ AI สร้างขึ้นโดยยังไม่ได้รับการยืนยัน
ก่อนหน้านี้ Apple เพิ่งเร่งปล่อยอัปเดตความปลอดภัยสำหรับ iOS 26.5.2 และระบบปฏิบัติการอื่น ๆ ที่เกี่ยวข้อง หลังพบช่องโหว่จากการใช้เครื่องมือ AI โดยแพตช์บางส่วนเดิมมีกำหนดรวมอยู่ในอัปเดตเวอร์ชัน 26.6
ในเอกสารด้านความปลอดภัยของระบบเหล่านั้น Apple ยังระบุชื่อของนักวิจัยที่ใช้เครื่องมือ AI จากหลายบริษัท เช่น OpenAI, Anthropic และ Z.ai ในการช่วยค้นพบช่องโหว่หลายรายการ
หนึ่งในทีมที่ได้รับเครดิตคือ Calif.io ซึ่งเปิดเผยเมื่อเดือนพฤษภาคมว่า ทีมได้ใช้โมเดล Mythos Preview ของ Anthropic เพื่อสร้างตัวอย่างการโจมตีช่องโหว่หน่วยความจำในเคอร์เนลของ macOS บนชิป M5 ที่สามารถใช้งานได้จริง ภายในเวลาเพียงห้าวัน
ความเคลื่อนไหวของ Apple เกิดขึ้นเพียงไม่กี่วันหลัง GitHub ปรับระบบ Bug Bounty ของตัวเองเป็นแบบหลายระดับ เพื่อควบคุมรายงานคุณภาพต่ำที่สร้างโดย AI พร้อมแยกนักวิจัยที่ผ่านการยืนยันตัวตนออกจากผู้ส่งรายงานทั่วไป
Financial Times ยังกล่าวถึงกรณีของ Bynario บริษัทสตาร์ตอัปด้านความปลอดภัยไซเบอร์ที่มีพนักงานเจ็ดคน ซึ่งใช้เครื่องมือ AI รุ่นใหม่เพื่อค้นหาช่องโหว่
บริษัทดังกล่าวรายงานช่องโหว่ให้ Apple ห้ารายการในปีนี้ และอีกแปดรายการในปีที่ผ่านมา โดยหนึ่งในนั้นได้รับการแก้ไขผ่านอัปเดตซอฟต์แวร์เมื่อเดือนพฤศจิกายน
อย่างไรก็ตาม Bynario ถูกระบบของ Apple ระงับไม่ให้ส่งรายงานเพิ่มเติม หลังแตะขีดจำกัดจำนวนรายงานที่เปิดค้างไว้
ภายหลัง Financial Times รายงานเรื่องดังกล่าว Apple ได้ติดต่อกลับไปยัง Bynario และเริ่มตรวจสอบผลการค้นพบของบริษัท รวมถึงชุดช่องโหว่แบบ Privilege Escalation ที่อาจทำให้ผู้โจมตีสามารถยกระดับสิทธิ์และเข้าควบคุมเครื่อง Mac ได้ทั้งหมด
Apple ระบุในแถลงการณ์ว่า
“จากจำนวนรายงานด้านความปลอดภัยที่สร้างโดย AI ซึ่งเพิ่มขึ้นทั่วทั้งอุตสาหกรรม เราจึงปรับจำนวนรายงานใหม่ที่นักวิจัยสามารถเปิดค้างไว้ได้พร้อมกัน”
บริษัทยังกล่าวเพิ่มเติมว่า นักวิจัยสามารถยื่นคำร้องเพื่อขอเพิ่มขีดจำกัดได้ทุกเมื่อ เพื่อให้มั่นใจว่ารายงานช่องโหว่ที่มีความร้ายแรงจะยังสามารถส่งไปถึงทีมรักษาความปลอดภัยของ Apple ได้
การเปลี่ยนแปลงครั้งนี้สะท้อนให้เห็นว่า AI กำลังเปลี่ยนกระบวนการค้นหาช่องโหว่ด้านความปลอดภัยอย่างรวดเร็ว จากเดิมที่นักวิจัยต้องใช้เวลาวิเคราะห์ระบบด้วยตัวเอง กลายเป็นการใช้ AI ช่วยตรวจสอบโค้ด ค้นหาจุดอ่อน และสร้างตัวอย่างการโจมตีได้ภายในเวลาอันสั้น
แต่ในอีกด้านหนึ่ง อุตสาหกรรมก็ต้องเผชิญกับปัญหาใหม่ คือปริมาณรายงานที่เพิ่มขึ้นเร็วกว่าความสามารถของทีมมนุษย์ในการตรวจสอบ จนนำไปสู่การออกกฎเพื่อควบคุมจำนวนรายงาน และให้ความสำคัญกับคุณภาพมากกว่าปริมาณ
Hikari คิดว่า : ข่าวนี้เป็น สัญญาณเปลี่ยนยุคของงาน Cybersecurity เพราะไม่ใช่แค่เรื่อง Apple ตั้งเพดานรับรายงานเท่านั้น
ด้านดีคือ AI ทำให้นักวิจัยทีมเล็กค้นหาช่องโหว่ที่ซับซ้อนได้เร็วขึ้นมาก จากเดิมที่อาจต้องใช้เวลาหลายสัปดาห์หรือหลายเดือน เหลือเพียงไม่กี่วัน
แต่ปัญหาคือ AI ลดต้นทุนในการ “สร้างรายงาน” ลงมาก จนใครก็สามารถป้อนผลวิเคราะห์เข้ามาได้ แม้ยังไม่ได้ตรวจสอบว่าช่องโหว่นั้นเกิดขึ้นจริงหรือไม่ ทีมความปลอดภัยจึงอาจต้องเสียเวลาคัดรายงานคุณภาพต่ำ จนรายงานสำคัญจริง ๆ ถูกกลบอยู่ในกองข้อมูล
การจำกัดจำนวนรายงานช่วยลดภาระได้ แต่ถ้าระบบแข็งเกินไป นักวิจัยตัวจริงหรือบริษัทเล็กอย่าง Bynario ก็อาจถูกปิดทาง ทั้งที่ถือช่องโหว่ร้ายแรงอยู่ในมือ
ทางออกที่เหมาะกว่าน่าจะเป็นระบบคัดกรองหลายระดับ เช่น
- ผู้ส่งต้องแนบขั้นตอนทำซ้ำและหลักฐานว่าช่องโหว่ใช้งานได้จริง
- แยกระหว่างผลที่ AI “สงสัยว่ามีปัญหา” กับช่องโหว่ที่มนุษย์ตรวจสอบแล้ว
- ให้นักวิจัยที่มีประวัติดีหรือผ่านการยืนยัน ได้โควตาสูงกว่า
- ใช้ AI ฝั่ง Apple ช่วยคัดกรองรายงาน AI อีกชั้นหนึ่ง
ประเด็นที่น่าสนใจที่สุดคือ ต่อไปคุณค่าของนักวิจัยอาจไม่ได้อยู่ที่ว่า “ใครหาเจอมากที่สุด” แต่อยู่ที่ว่า “ใครพิสูจน์ได้ชัดที่สุดว่าปัญหานั้นจริง ร้ายแรง และแก้อย่างไร”
