Apple a mis un quota sur les rapports de vulnérabilité, et 11 failles du même lot de correctifs ont été trouvées par des IA

Le 2 août, le Financial Times a rapporté qu’Apple impose deux limites aux chercheurs qui signalent des problèmes de sécurité via Feedback Assistant : un plafond sur le nombre de rapports qu’une même personne peut garder ouverts en même temps, et une période de latence de 30 jours une fois ce plafond atteint. Un quota supérieur se demande séparément. La raison avancée par Apple est que les rapports de vulnérabilité assistés par IA arrivent plus vite que les humains ne peuvent les vérifier. Apple n’a pas publié le chiffre exact.

Une semaine plus tôt, le 27 juillet, Apple publiait 8 bulletins de sécurité et refermait 210 vulnérabilités. Onze d’entre elles avaient été trouvées par des IA.

Ces deux faits sont trop rapprochés pour être lus séparément.

Qui est crédité pour ces 11 failles

Les bulletins de sécurité d’Apple nomment celui qui signale. Le lot du 27 juillet crédite :

• Claude (Anthropic), 4 : CVE-2026-64757 et CVE-2026-43715 dans WebKit, CVE-2026-64704 dans SMB, CVE-2026-64703 dans WebDAV
• OpenAI Codex Security, 2 : toutes deux dans WebKit
• Red Team IA de NVIDIA, 3 : deux dans WebKit, une élévation de privilèges dans CUPS
• GLM (Z.AI), 2 : toutes deux dans WebKit
• Atuin Automated Vulnerability Discovery Engine, 1 : partage d’écran

La plus lourde du lot est CVE-2026-64747, dans AVEVideoEncoder : exécution de code arbitraire avec les privilèges du noyau, de l’iPhone jusqu’au Vision Pro. macOS Tahoe en comptait sept autres permettant d’atteindre root : deux dans CUPS, une chacune dans Core Services, Accounts, SecurityAgent, Remote Management et MediaRemote.

La faille de partage d’écran signalée par Atuin porte le numéro CVE-2026-43760, et c’est la société italienne Bynario qui l’a trouvée. Leur plateforme Atlas tourne sur GPT-5.5 et a déterré plus de 50 points suspects dans macOS en trois semaines. Les conditions de déclenchement de celle-ci sont précises : la machine a le partage d’écran ou la gestion à distance activés, avec l’accès par mot de passe VNC hérité ; un client VNC déjà authentifié peut alors lire des données protégées et créer des fichiers en tant que root — Bynario a ensuite montré comment étendre cela à l’exécution de commandes en root. Apple a corrigé la faille dans macOS Tahoe 26.6 et a crédité trois noms : Alfredo Pesoli de Bynar.io, wdszzml, et Atuin, la machine.

Le type de soumission qu’Apple a décidé hier de limiter et le lot de découvertes qu’Apple remerciait la semaine dernière viennent du même endroit.

Doubler la prime et rétrécir la porte

En octobre 2025, Apple a doublé sa prime maximale, de 1 million à 2 millions de dollars, pour les chaînes d’exploitation qui ne demandent aucune action de l’utilisateur et produisent l’équivalent d’un logiciel espion mercenaire. Les failles dans les versions bêta et les contournements du mode Isolement donnent droit à des bonus qui peuvent porter un seul versement au-delà de 5 millions. Une évasion de bac à sable WebKit en un clic plafonne à 300 000 dollars, une exploitation par proximité sans fil à 1 million. La nouvelle grille est entrée en vigueur en novembre 2025. Le cumul publié par Apple : 35 millions de dollars versés depuis 2020, à 800 chercheurs.

Moins d’un an plus tard, Apple pose un quota sur la porte.

Un pied sur l’accélérateur, l’autre sur le frein. Doubler la prime dit au monde extérieur d’en trouver davantage. Le quota lui dit d’en envoyer moins. Les deux signaux partent en même temps, et celui qui les reçoit ne peut que deviner lequel est sincère.

Apple n’ignore pas où se situe le goulot. L’entreprise utilise désormais l’IA pour trier et prioriser les rapports entrants, mais la confirmation reste un travail humain : reproduire, vérifier les prérequis, juger de l’urgence. Trouver des failles tourne déjà en parallèle sur des machines. Les confirmer passe encore en série par des personnes. Tant que ce passage central ne s’élargit pas, tout l’accélérateur en amont s’entasse au même endroit.

curl a mené l’expérience inverse

curl fait tourner une prime sur HackerOne depuis 2019. Pendant des années, la part des rapports soumis qui se révélaient être de vraies vulnérabilités dépassait 15 %. En 2025, ce chiffre est tombé sous les 5 % : plus de dix-neuf rapports sur vingt ne valaient rien. En juillet 2025, Daniel Stenberg estimait qu’environ 20 % des soumissions relevaient de la pure bouillie générée par IA.

Il a publié un échantillon typique : une vulnérabilité prétendument présente dans HTTP/3, rédigée de façon convaincante, avec sessions GDB et vidages de registres à l’appui. Seul problème, la fonction citée n’existe pas dans curl.

Nous subissons de fait une attaque par déni de service.

C’est Stenberg. Il a aussi dit autre chose, sur les raisons pour lesquelles cela ne se règle pas par la discussion : nous n’avons aucun moyen de changer la façon dont tous ces gens et leurs machines à bouillie travaillent.

Le 26 janvier 2026, il annonce la fin de la prime curl. Elle s’arrête le 31 janvier, et à partir du 1er février les rapports de sécurité passent sur GitHub. Il énonce le motif sans détour :

L’objectif principal en fermant la prime est de supprimer l’incitation à nous envoyer des rapports bâclés et mal documentés.

Notez de quel côté il agit : la porte reste ouverte, l’argent disparaît. N’importe qui peut toujours signaler. Signaler ne rapporte simplement plus rien.

Le passage à GitHub, il l’a lui-même jugé ensuite comme une erreur. Il a listé quinze défauts du système d’avis de sécurité de GitHub, dont le fait que le rapport intégral part par e-mail et notification sans qu’on puisse le désactiver, que les rapports invalides ne peuvent pas être divulgués publiquement, et que les champs CVE ne sont pas modifiables. Le 1er mars, curl revient sur HackerOne — mais la prime, elle, ne revient pas. Ses mots : the reward money is still gone, there is no bug-bounty.

Ce qui s’est passé une fois l’argent parti, dans sa formulation : le tsunami de soumissions s’est considérablement asséché. Il n’a pas crié victoire. Sa phrase suivante : peut-être que tous ces sloptimists n’ont simplement pas encore compris où envoyer leurs rapports maintenant.

Ensuite, curl a purement et simplement fermé pendant cinq semaines : du 1er juillet à 00h00 CEST au 3 août à 09h00 CEST, aucun rapport de vulnérabilité accepté. Ce que vous trouverez ce mois-ci, il faudra attendre, résumait Stenberg. Cette heure de fin, c’est ce matin. curl vient de rouvrir.

GitHub a pris une troisième voie

Le 27 juillet — le jour même où Apple livrait ses 210 correctifs — la nouvelle grille de primes de GitHub entrait en vigueur. Les montants de la filière publique ont été réduits d’au moins la moitié à chaque niveau de gravité ; les découvertes critiques sont passées de 20 000 à 30 000 dollars et plus à un forfait de 10 000. En parallèle, GitHub a ouvert une filière permanente sur invitation, payant 30 000 dollars et davantage.

GitHub a décrit le problème plus précisément qu’Apple. À côté de la croissance des rapports légitimes, écrit l’entreprise, sont apparues en masse des soumissions sans preuve de concept, des scénarios d’attaque théoriques qui ne résistent pas à l’examen, et des découvertes déjà couvertes par les listes publiées de cas non éligibles.

GitHub ne dit pas que ces rapports sont écrits par des IA. GitHub dit ce qui manque à ces rapports. Pas de PoC, rien qui résiste à l’examen, répétition de cas déjà déclarés non éligibles.

Une règle l’accompagne : les nouveaux venus sont plafonnés sur le nombre de rapports qu’ils peuvent soumettre tant qu’ils n’ont pas démontré leur qualité. Le canal s’élargit à mesure que le dossier se construit, et débouche sur cette filière sur invitation. Selon The Register, Google, Bugcrowd et HackerOne opèrent des restructurations comparables.

Un quota agit sur la personne, pas sur le contenu

Les trois font face au même changement : écrire un rapport qui a l’air professionnel ne coûte pratiquement plus rien. Ce qui les distingue, c’est la pièce de la machine qu’ils ont touchée.

Un quota est un instrument grossier parce qu’il compte combien de rapports vous avez ouverts, pas si l’un d’eux tient debout. Bynario, capable de sortir 50 pistes en trois semaines, et quelqu’un qui recopie la sortie brute d’un modèle sont le même type de compte face à un quota. Pour le premier il bloque de la production réelle, pour le second il bloque du déchet. Une seule règle, deux effets opposés.

Plus gênant encore, la catégorie elle-même est fausse. Le débat public parle depuis le début de « limiter les rapports générés par IA » — or 11 des 210 correctifs du 27 juillet ont bel et bien été trouvés par des IA, et l’un d’eux a été signalé par la société même que la couverture de cette politique ne cesse de nommer. Qui a écrit un rapport et si ce rapport tient debout sont deux propriétés sans rapport. Filtrer sur la première, c’est se tromper dans les deux sens à la fois.

Target Flags, c’est la moitié qu’Apple a bien vue

Il y a une autre pièce dans les changements d’Apple, appelée Target Flags : on demande aux chercheurs de démontrer que la faille atteint réellement un état cible précis, au lieu de décrire un problème qui devrait exister en théorie.

Un quota demande qui vous êtes et combien vous en avez déposé. Target Flags demande si votre chose fonctionne. Le premier ajoute un coût à la personne, le second au contenu. Or l’IA est extrêmement bon marché pour produire du texte qui a l’air juste, et guère moins chère qu’avant pour faire fonctionner une vraie chaîne d’exploitation : une exigence de preuve tombe exactement sur cet écart de coût.

La suppression de la prime par Stenberg déplace aussi un coût de preuve, libellé cette fois en coût d’opportunité : signaler ne rapporte rien, donc seuls ceux qui veulent vraiment améliorer curl y consacrent du temps.

Un quota ne repose sur aucun écart de coût. Il repose sur le volume.

Qui d’autre est sur cette courbe

Partout où une entrée ouverte rencontre un tri humain, le glissement est le même :

• Le recrutement. Le coût marginal d’un CV et d’une lettre de motivation est tombé à zéro. L’autre bout n’a pas changé.
• Les issues et PR des projets open source. curl a simplement été le premier à le dire tout haut.
• Les soumissions, l’évaluation par les pairs, les prix. Le nombre d’évaluateurs est fixe.
• Les tickets de support et les contestations de remboursement. Les argumentaires de contestation se génèrent déjà en masse.
• La validation des boutiques d’applications. Apple fait tourner toute une file de ce genre en dehors de Feedback Assistant.

Ces systèmes reposaient tous sur une même phrase : les soumissions sont rares, donc les humains suivent. Cela a cessé d’être vrai en 2026, et la plupart des produits n’ont pas reconçu leur entrée depuis.

Trois mécanismes environ sont disponibles, et les trois tournent déjà quelque part :

1. Une exigence de preuve — faire produire au soumissionnaire une pièce que la génération ne sait pas falsifier. Les Target Flags d’Apple et la PoC exigée par GitHub relèvent de cela.
2. Une hiérarchie de réputation — laisser la justesse passée fixer la largeur du canal. La filière sur invitation de GitHub, plus le plafond pour les nouveaux, en est la version complète : les gens justes touchent 30 000 dollars, ceux sans historique font la queue.
3. Une caution ou une pénalité — une soumission invalide coûte quelque chose, ce qui repousse le coût vers l’émetteur. Le filtrage des remboursements frauduleux dans le e-commerce tourne sur cette logique.

Le quota arrive derrière ces trois-là. C’est le plus simple à mettre en place, et le moins regardant sur le contenu.

La voie de curl a un effet secondaire qu’il faut nommer : une fois l’argent parti, ceux qui restent sont plus justes, mais ils sont moins nombreux. Pour un projet open source, c’est un échange acceptable. Pour une entreprise qui compte sur des chercheurs extérieurs pour tenir l’iPhone debout, peut-être pas. Apple ne peut pas supprimer l’argent, il lui fallait donc un autre levier, et le premier qu’elle a saisi est un quota.

Les mêmes gens, les mêmes machines

L’élévation de privilèges dans le partage d’écran qu’Apple a refermée le 27 juillet, CVE-2026-43760, a été signalée par Bynario et une machine nommée Atuin. Ce qu’Apple a annoncé le 2 août, c’est une limite sur la vitesse à laquelle ces mêmes gens et cette même classe de machines peuvent déposer.

curl a rouvert à 9 heures ce matin, toujours sans prime. La dernière fois que Stenberg s’est exprimé publiquement, il n’a pas dit que le problème était réglé. Il a dit que ces gens n’avaient peut-être pas encore compris où envoyer leurs rapports.

L’un a changé l’incitation, l’autre a changé la porte. Dans trois mois, il vaudra la peine de revenir voir de quel côté les chiffres ont bougé.