Τα προγράμματα ανεύρεσης σφαλμάτων (Bug Bounty) αποτελούν εδώ και χρόνια τη ραχοκοκαλιά της ψηφιακής ασφάλειας. Κολοσσοί όπως η Apple προσφέρουν τεράστιες χρηματικές αμοιβές από μερικές χιλιάδες έως και εκατομμύρια δολάρια σε ανεξάρτητους ερευνητές που ανακαλύπτουν κενά στα λειτουργικά τους συστήματα, πριν αυτά πέσουν στα χέρια των hackers. Έως τώρα, η Apple έχει πληρώσει συνολικά πάνω από 35 εκατομμύρια δολάρια σε αμοιβές. Ωστόσο, η ραγδαία εξέλιξη της Τεχνητής Νοημοσύνης έχει μετατρέψει αυτή την πολύτιμη διαδικασία σε έναν πραγματικό εφιάλτη για τις εσωτερικές ομάδες ασφαλείας.
Όπως επιβεβαίωσε πρόσφατα η ίδια η εταιρεία στους Financial Times, αναγκάστηκε να θέσει αυστηρά όρια στις αναφορές του προγράμματός της, καθώς δέχτηκε ένα πρωτοφανές, ασφυκτικό κύμα μαζικών υποβολών. Το μεγαλύτερο μέρος από αυτόν τον τεράστιο όγκο δεδομένων παράγεται πλέον αποκλειστικά από AI εργαλεία. Το φαινόμενο, που έχει βαφτιστεί από την κοινότητα ως “AI slop”, απειλεί να “πνίξει” τα πραγματικά, κρίσιμα προβλήματα κάτω από έναν απέραντο ωκεανό ψηφιακών ψευδαισθήσεων.
Όταν η μηχανή “παραισθάνεται” και καταστρέφει το workflow
Η πρακτική πλέον είναι γνωστή: Οι ερευνητές χρησιμοποιούν μοντέλα μεγάλης γλώσσας (LLMs) για να σκανάρουν ατελείωτες γραμμές κώδικα και να βρουν τρωτά σημεία μέσα σε δευτερόλεπτα. Το τεράστιο πρόβλημα, όμως, είναι ότι η AI τείνει συχνά να βγάζει “hallucinations” (παραισθήσεις). Κατασκευάζει, δηλαδή, θεωρητικές ευπάθειες που πρακτικά δεν υφίστανται στο πραγματικό λογισμικό, παρότι τεχνικά το κείμενο δείχνει απολύτως έγκυρο και πειστικό. Δεδομένου ότι κάθε τέτοια αναφορά απαιτεί ανθρώπινη επιβεβαίωση και χειροκίνητη επαλήθευση, οι ελεγκτές της Apple άρχισαν να χάνουν αμέτρητες εργατοώρες προσπαθώντας να ξεχωρίσουν τα υπαρκτά κενά από τα αποκυήματα φαντασίας των αλγορίθμων.
Το 30ήμερο “cool-off” και οι τραγικές παράπλευρες απώλειες
Για να αντιμετωπίσει αυτό το απόλυτο χάος, η Apple προχώρησε από τον περασμένο Ιούνιο σε μια δραστική αλλαγή πολιτικής. Πλέον, επιβάλλει ένα αυστηρό όριο (cap) στον αριθμό των αναφορών που μπορεί να έχει ανοιχτές ένας ερευνητής ταυτόχρονα. Μόλις ξεπεραστεί αυτό το ανώτατο όριο, ενεργοποιείται αυτόματα μια περίοδος “ψύχρανσης” (cool-off period) 30 ημερών. Κατά τη διάρκεια αυτού του μήνα, ο χρήστης δεν μπορεί να υποβάλει νέα ευρήματα, εκτός κι αν αιτηθεί ειδικής, κατ’ εξαίρεση έγκρισης από την εταιρεία. Η πρόθεση της Apple μπορεί να ήταν καλή για να αποσυμφορήσει το σύστημά της αλλά το μέτρο αυτό οδήγησε άμεσα σε σοβαρότατες “παράπλευρες απώλειες”.
Η ιταλική Bynario και το κρυμμένο bug των 200.000 δολαρίων
Το πιο χαρακτηριστικό παράδειγμα αυτής της αστοχίας είναι η περίπτωση της ιταλικής startup κυβερνοασφάλειας Bynario. Η ολιγομελής ομάδα, αξιοποιώντας τις δυνατότητες του GPT-5.5, εντόπισε πάνω από 50 πιθανά bugs στο macOS μέσα σε μόλις τρεις εβδομάδες, εξαντλώντας γρήγορα το διαθέσιμο όριο της Apple. Η τραγική ειρωνεία; Όταν οι ερευνητές ανακάλυψαν μια αληθινή, κρισιμότατη ευπάθεια στο Screen Sharing του macOS Tahoe 26, η οποία έδινε στον επιτιθέμενο πλήρη έλεγχο του συστήματος ένα zero-day exploit με εκτιμώμενη αξία 100.000 έως 200.000 δολάρια στη μαύρη αγορά, το portal της Apple τους είχε ήδη μπλοκάρει και δεν μπορούσαν να υποβάλουν την αναφορά!
Ευτυχώς, το καταστροφικό αυτό κενό δεν έμεινε ανεκμετάλλευτο για καιρό, καθώς η Apple επικοινώνησε τελικά απευθείας με τη Bynario και έσπευσε να κυκλοφορήσει άμεσα ένα patch ασφαλείας. Όμως, το περιστατικό αυτό αναδεικνύει τις χτυπητές αδυναμίες του νέου μοντέλου. Αξίζει να σημειωθεί ότι και η Google πρόσφατα αναμόρφωσε το δικό της Bug Bounty, προσφέροντας αυξημένα μπόνους μόνο σε όσους λύνουν πολύπλοκα προβλήματα που η AI αδυνατεί να εντοπίσει, υποβαθμίζοντας τις μαζικές υποβολές. Το τοπίο της ψηφιακής ασφάλειας περνάει μια τεράστια μεταβατική φάση. Μείνετε συντονισμένοι στο Zappit για όλες τις καταιγιστικές εξελίξεις, τις αποκαλύψεις και τα τεχνολογικά νέα που διαμορφώνουν το μέλλον μας!
