L'IA sta inondando i programmi di bug bounty. Apple pone un limite, Microsoft paga.

      L'IA ha imparato a trovare bug software più velocemente di quanto possano fare le persone, e i programmi che li pagano sono in difficoltà. In una sola settimana, i tre più grandi hanno preso tre direzioni diverse.

      Microsoft ha pagato una somma record. Apple ha chiuso la porta su quanti bug un ricercatore può segnalare. Google ha silenziosamente riprezzato l'intera questione. Tutti e tre stavano reagendo alla stessa inondazione.

      Microsoft ha pagato più di 20 milioni di dollari a 562 ricercatori nel suo ultimo anno di bounty, ha riportato The Register, un record in entrambi i casi. Un anno prima erano circa 17 milioni di dollari a 344. Microsoft ha incolpato il "crescenti utilizzo dell'IA" nella ricerca di sicurezza per l'impennata.

      Ma non è un confronto pulito: l'azienda ha anche ampliato ciò che conta come un bug a metà anno.

      Apple chiude la porta

      Apple ha preso la direzione opposta. Ha posto un limite e un periodo di raffreddamento di 30 giorni sulle segnalazioni attraverso il suo portale di sicurezza, e chiunque desideri segnalare di più deve fare una richiesta speciale. Il cambiamento è avvenuto perché le scoperte alimentate dall'IA avevano sopraffatto i suoi team di revisione e stavano soffocando i ricercatori umani, ha riportato il Financial Times.

      Il costo è concreto. La società di sicurezza Bynario ha trovato un difetto di alta gravità in macOS che consentiva a un attaccante remoto di creare file come root, quindi eseguire comandi come root. Non è riuscita a segnalare il bug rapidamente. Aveva già raggiunto il limite di Apple dopo aver segnalato 50 bug in tre settimane, ha scritto.

      Apple ha contattato direttamente e ha corretto il problema. La sorpresa: Bynario aveva trovato il bug utilizzando l'IA.

      Google riprezza i bug difficili

      Google ha preso una terza strada. Ha ricostruito le sue regole di ricompensa per Android e Chrome. Ora paga molto per le esploit difficili e nuove che l'IA non può ancora produrre, e meno per quelle di routine che ora può. Sta ritirando i bonus per le tecniche che "l'IA ha reso quasi di routine", ha detto. Vuole anche riproduttori brevi e concreti piuttosto che le lunghe descrizioni che l'IA produce.

      L'economia si rompe

      Il filo comune è il denaro. I bounty per bug sono stati costruiti attorno a una scarsa esperienza umana, e l'IA ha reso sia la ricerca di un bug che la sua descrizione economica. La stessa confusione sta avvelenando il database pubblico delle vulnerabilità. L'IA sta anche trovando difetti reali su larga scala e cacciando bug tanto velocemente quanto produce rumore.

      Per i difensori, il lato positivo è reale. Un cacciatore di bug IA ha aiutato a trovare una chiave master per ogni database nel Cosmos DB di Microsoft Azure. Claude di Anthropic ha scoperto difetti negli algoritmi crittografici che gli esperti avevano trascurato. Il problema è distinguere quel segnale dall'inondazione. Ognuno dei tre grandi ha ora scelto un modo diverso per provare, e nessuno di essi sembra definitivo.

       Pubblicato il 5 agosto 2026 - 13:07 UTC

       Torna in cima