Frandroid révèle qu’Apple a failli ignorer une faille majeure dans macOS, estimée jusqu’à 200 000 dollars sur le marché noir, en raison d’un afflux de faux rapports générés par l’intelligence artificielle. Selon la publication, cette situation a poussé le géant américain à revoir sa politique de signalement des vulnérabilités, initialement saturée par des milliers de rapports automatisés.

Ce qu'il faut retenir

  • Apple a plafonné les signalements de failles pour faire face à un afflux de faux rapports générés par l’IA, selon Frandroid.
  • Une faille macOS majeure, potentiellement valorisée à 200 000 dollars sur le marché noir, a été presque ignorée en raison de cette mesure.
  • Les chercheurs en cybersécurité ont alerté Apple sur les risques liés à cette politique de modération excessive.
  • Le géant de Cupertino a dû ajuster ses critères pour éviter de manquer des vulnérabilités critiques à l’avenir.

Un afflux de faux rapports IA met sous pression Apple

Depuis plusieurs mois, les équipes d’Apple chargées de la sécurité des systèmes d’exploitation macOS font face à une augmentation significative du nombre de signalements de vulnérabilités. Selon Frandroid, plus de 80 % de ces rapports seraient générés automatiquement par des outils d’IA, saturant les canaux de réception dédiés aux chercheurs en cybersécurité.

Face à cette situation, Apple a mis en place un plafond limitant le nombre de rapports traités quotidiennement. Une décision qui, bien qu’utile pour désengorger les équipes, a failli avoir des conséquences dramatiques. « On a frôlé l’erreur », confie un chercheur indépendant ayant travaillé avec Apple sur ce dossier. « Une faille critique a été presque ignorée parce que son rapport a été classé comme un doublon ou un faux positif. »

Une faille macOS sous-évaluée à près de 200 000 dollars

Selon les informations de Frandroid, la vulnérabilité en question concernait un mécanisme de sécurité fondamental de macOS, permettant potentiellement à un attaquant d’exécuter du code à distance avec des privilèges élevés. Sur le marché noir, une telle faille peut atteindre des sommes considérables, estimées entre 150 000 et 200 000 dollars, en fonction de son exploitabilité et de la version du système concernée.

Un chercheur en cybersécurité, ayant souhaité rester anonyme, a expliqué à Frandroid : « Le rapport a été initialement rejeté parce que l’outil d’IA avait jugé qu’il s’agissait d’un doublon. Il a fallu plusieurs relances et une vérification manuelle pour que le problème soit reconnu et corrigé. » Apple n’a pas encore communiqué officiellement sur ce cas précis, mais des sources internes confirment que la procédure a été revue.

Apple ajuste sa politique pour éviter de nouveaux ratés

D’après Frandroid, Apple a commencé à déployer une nouvelle politique de gestion des signalements, intégrant des algorithmes plus sophistiqués pour distinguer les rapports automatisés des contributions humaines. Les critères de priorisation ont également été revus pour éviter qu’une faille critique ne soit négligée au profit de signalements moins urgents.

« On a travaillé avec plusieurs équipes internes pour affiner nos outils de détection », a déclaré un porte-parole d’Apple à Frandroid. « L’objectif est de maintenir un équilibre entre la gestion des volumes de signalements et la détection des vulnérabilités réelles. » La firme a aussi renforcé les canaux de communication avec la communauté des chercheurs en sécurité, notamment via son programme Apple Security Bounty, qui récompense financièrement les découvertes de failles.

Et maintenant ?

Apple devrait publier une mise à jour officielle de sa documentation concernant la gestion des signalements de vulnérabilités d’ici la fin du mois d’août 2026. Une réunion est également prévue avec des représentants de la communauté des chercheurs en cybersécurité pour recueillir leurs retours sur les nouvelles mesures. Reste à voir si ces ajustements suffiront à éviter de nouvelles erreurs de tri, alors que les outils d’IA continuent de se démocratiser dans le domaine de la sécurité informatique.

Cette affaire rappelle l’importance de l’équilibre entre automatisation et expertise humaine dans la détection des vulnérabilités. Même les géants de la tech ne sont pas à l’abri des ratés, surtout lorsque les systèmes automatisés deviennent trop intrusifs.

Selon les informations de Frandroid, Apple a développé de nouveaux algorithmes capables d’analyser le contexte et la structure des rapports. Des équipes humaines interviennent également pour valider manuellement les signalements les plus critiques, réduisant ainsi les risques de faux négatifs.

D’après les données de Frandroid, une faille critique dans macOS peut valoir entre 150 000 et 200 000 dollars, selon son exploitabilité. Ce montant dépend de la rareté de la faille, de la version du système concernée et de la demande des acteurs malveillants ou des agences gouvernementales.