Apple ha messo una quota sulle segnalazioni di vulnerabilità, e 11 falle dello stesso lotto di patch le ha trovate l'IA

Il 2 agosto il Financial Times ha riportato che Apple impone due limiti ai ricercatori che segnalano problemi di sicurezza tramite Feedback Assistant: un tetto al numero di segnalazioni che una persona può tenere aperte contemporaneamente e un periodo di raffreddamento di 30 giorni una volta raggiunto quel tetto. Una quota più alta va richiesta a parte. La ragione dichiarata da Apple è che le segnalazioni di vulnerabilità assistite dall’IA arrivano più in fretta di quanto gli esseri umani riescano a verificarle. Il numero esatto Apple non l’ha pubblicato.

Una settimana prima, il 27 luglio, Apple aveva pubblicato 8 bollettini di sicurezza chiudendo 210 vulnerabilità. Undici di quelle le aveva trovate l’IA.

Sono due fatti troppo vicini per leggerli separatamente.

A chi vanno i crediti di quelle 11

I bollettini di sicurezza di Apple riportano il nome di chi segnala. Nel lotto del 27 luglio compaiono:

• Claude (Anthropic), 4: CVE-2026-64757 e CVE-2026-43715 in WebKit, CVE-2026-64704 in SMB, CVE-2026-64703 in WebDAV
• OpenAI Codex Security, 2: entrambe in WebKit
• Red Team IA di NVIDIA, 3: due in WebKit, una elevazione di privilegi in CUPS
• GLM (Z.AI), 2: entrambe in WebKit
• Atuin Automated Vulnerability Discovery Engine, 1: condivisione schermo

La più pesante del lotto è CVE-2026-64747, dentro AVEVideoEncoder: esecuzione di codice arbitrario con privilegi del kernel, con impatto dall’iPhone fino al Vision Pro. Su macOS Tahoe ce n’erano altre sette che arrivano a root: due in CUPS, una ciascuna in Core Services, Accounts, SecurityAgent, Remote Management e MediaRemote.

La falla nella condivisione schermo segnalata da Atuin porta il numero CVE-2026-43760, e a trovarla è stata l’azienda italiana Bynario. La loro piattaforma Atlas gira su GPT-5.5 e in tre settimane ha tirato fuori più di 50 punti sospetti in macOS. Le condizioni di innesco di questa sono piuttosto specifiche: sulla macchina sono attive la condivisione schermo o la gestione remota e risulta abilitato l’accesso con la vecchia password VNC; a quel punto un client VNC già autenticato può leggere dati protetti e creare file come root, e Bynario ha poi mostrato come estendere la cosa fino all’esecuzione di comandi come root. Apple ha corretto in macOS Tahoe 26.6 e ha accreditato tre nomi: Alfredo Pesoli di Bynar.io, wdszzml e Atuin, la macchina.

Il tipo di invio che Apple ieri ha deciso di limitare e il gruppo di scoperte che Apple la settimana scorsa ha ringraziato vengono dallo stesso posto.

Raddoppiare il premio e stringere la porta

Nell’ottobre 2025 Apple ha raddoppiato il premio massimo da 1 a 2 milioni di dollari, per catene di exploit che non richiedono alcuna azione dell’utente e ottengono quello che ottiene lo spyware mercenario. Le falle nel software beta e l’aggiramento della modalità Isolamento hanno bonus che possono spingere un singolo pagamento oltre i 5 milioni. Un’evasione dalla sandbox di WebKit con un clic arriva al massimo a 300.000 dollari, un exploit per prossimità wireless a 1 milione. Il nuovo tariffario è entrato in vigore a novembre 2025. Il totale dichiarato da Apple: 35 milioni di dollari versati dal 2020, a 800 ricercatori.

Meno di un anno dopo, Apple mette una quota sulla porta.

Un piede sull’acceleratore, l’altro sul freno. Raddoppiare il premio dice al mondo di trovarne di più. La quota gli dice di mandarne di meno. I due segnali partono insieme, e chi li riceve può solo tirare a indovinare quale sia quello vero.

Non è che Apple non veda dov’è il collo di bottiglia. Ormai usa l’IA per smistare e dare priorità alle segnalazioni in arrivo, ma la conferma resta lavoro umano: riprodurre, verificare le precondizioni, giudicare l’urgenza. Trovare le falle gira già in parallelo sulle macchine. Confermarle passa ancora in serie attraverso le persone. Finché quel passaggio centrale non si allarga, tutto l’acceleratore a monte si accumula nello stesso punto.

curl ha fatto l’esperimento contrario

curl tiene un programma di premi su HackerOne dal 2019. Per anni la quota di segnalazioni che si rivelavano vulnerabilità reali è rimasta sopra il 15%. Nel 2025 è scesa sotto il 5%: più di diciannove segnalazioni su venti non valevano nulla. A luglio 2025 Daniel Stenberg stimava che circa il 20% degli invii fosse pura sbobba generata dall’IA.

Ha pubblicato un campione tipico: una vulnerabilità che si diceva presente in HTTP/3, scritta in modo convincente, corredata di sessioni GDB e dump dei registri. L’unico problema era che la funzione citata in curl non esiste.

Di fatto ci stanno facendo un DDoS.

Parole di Stenberg. Ne ha dette anche altre, sul perché la cosa non si risolva parlando: non abbiamo alcun modo di cambiare come lavorano tutte queste persone e le loro macchine da sbobba.

Il 26 gennaio 2026 ha annunciato la fine del premio curl. Si è chiuso il 31 gennaio, e dal 1º febbraio le segnalazioni di sicurezza sono passate su GitHub. Il movente l’ha detto senza giri di parole:

L’obiettivo principale nel chiudere il premio è togliere alle persone l’incentivo a mandarci schifezze e segnalazioni fatte male.

Si noti su quale estremità agisce: la porta resta aperta, i soldi spariscono. Segnalare può ancora chiunque. Solo che segnalare non paga più.

Lo spostamento su GitHub lo ha poi giudicato lui stesso un errore. Ha elencato quindici difetti del sistema di advisory di sicurezza di GitHub, tra cui il fatto che l’intera segnalazione esce via email e notifica senza possibilità di disattivarla, che le segnalazioni non valide non si possono divulgare pubblicamente e che i campi CVE non sono modificabili. Il 1º marzo curl è tornato su HackerOne, ma il premio non è tornato. Parole sue: the reward money is still gone, there is no bug-bounty.

Cosa è successo dopo che i soldi sono spariti, nella sua formulazione: l’ondata di invii si è prosciugata in misura sostanziale. Non ha cantato vittoria. La riga immediatamente successiva dice che forse a tutti quegli sloptimist serve solo un po’ di tempo per capire dove mandare adesso le segnalazioni.

Poi curl ha semplicemente chiuso per cinque settimane: dal 1º luglio alle 00:00 CEST al 3 agosto alle 09:00 CEST, nessuna segnalazione di vulnerabilità accettata. Qualunque cosa troviate questo mese, dovrete aspettare, era la formula di Stenberg. Quell’orario di fine è questa mattina. curl ha appena riaperto.

GitHub ha preso una terza strada

Il 27 luglio, lo stesso giorno in cui Apple rilasciava quelle 210 correzioni, entrava in vigore anche il nuovo tariffario di GitHub. I premi del canale pubblico sono stati tagliati almeno della metà a ogni livello di gravità; le scoperte critiche sono passate da 20.000–30.000 dollari e oltre a 10.000 fissi. In parallelo GitHub ha aperto una fascia permanente su invito, che paga da 30.000 dollari in su.

GitHub ha descritto il problema in modo più preciso di Apple. Accanto alla crescita delle segnalazioni legittime, scrive, è arrivato un forte aumento di invii privi di proof of concept, di scenari d’attacco teorici che non reggono all’esame e di scoperte già coperte dagli elenchi pubblicati di casi non ammissibili.

Non ha detto che quelle segnalazioni le ha scritte l’IA. Ha detto che cosa manca a quelle segnalazioni. Niente PoC, niente tenuta all’esame, ripetizione di voci già dichiarate non valide.

C’è una regola che l’accompagna: i nuovi arrivati hanno un tetto al numero di segnalazioni che possono inviare finché non dimostrano la propria qualità. Costruito un curriculum il canale si allarga, e in fondo c’è quella fascia su invito. Secondo The Register, anche Google, Bugcrowd e HackerOne stanno ristrutturando in modo analogo.

Una quota agisce sulla persona, non sul contenuto

Tutti e tre affrontano lo stesso cambiamento: scrivere una segnalazione che sembra professionale ormai costa quasi nulla. La differenza sta nel pezzo di macchina su cui hanno messo le mani.

Una quota è uno strumento grezzo perché conta quante segnalazioni tieni aperte, non se una di quelle regge. Bynario, capace di produrre 50 piste in tre settimane, e chi incolla l’output grezzo di un modello sono lo stesso tipo di account davanti a una quota. Al primo blocca produzione vera, al secondo blocca spazzatura. Una sola regola, due effetti opposti.

Più fastidioso ancora, la categoria stessa è sbagliata. Il discorso pubblico parla da sempre di «limitare le segnalazioni generate dall’IA», eppure 11 di quelle 210 correzioni del 27 luglio le ha trovate proprio l’IA, e una di esse è stata segnalata dalla stessa azienda che la copertura di questa politica continua a nominare. Chi ha scritto una segnalazione e se quella segnalazione regge sono due proprietà che non c’entrano nulla l’una con l’altra. Filtrare sulla prima significa sbagliare in entrambe le direzioni contemporaneamente.

Target Flags è la metà che Apple ha azzeccato

Nelle modifiche di Apple c’è anche un’altra cosa, chiamata Target Flags: ai ricercatori si chiede di dimostrare che la falla raggiunge davvero uno stato obiettivo preciso, invece di descrivere un problema che in teoria dovrebbe esistere.

Una quota chiede chi sei e quante ne hai depositate. Target Flags chiede se la tua cosa gira. La prima mette un costo sulla persona, la seconda sul contenuto. E l’IA è per l’appunto costosissimamente economica nel produrre testo che sembra giusto, e non molto più economica di prima nel far funzionare una catena di exploit reale: un requisito di prova cade esattamente su quello scarto di costo.

Anche togliere il premio, come ha fatto Stenberg, muove un costo di prova, solo denominato in costo opportunità: segnalare non frutta nulla, quindi ci mette tempo solo chi vuole davvero che curl migliori.

Una quota non poggia su nessuno scarto di costo. Poggia sul volume.

Chi altro sta su questa curva

Ovunque un ingresso aperto incontri uno smistamento umano, la deriva è la stessa:

• Le assunzioni. Il costo marginale di curriculum e lettera di presentazione è andato a zero. L’altro capo non è cambiato.
• Issue e PR dei progetti open source. curl è stato solo il primo a dirlo ad alta voce.
• Sottomissioni, revisione paritaria, premi. Il numero dei revisori è fisso.
• Ticket di assistenza e contestazioni di rimborso. I testi delle contestazioni si generano già in serie.
• Revisione degli app store. Apple stessa gestisce un’intera coda del genere fuori da Feedback Assistant.

Questi sistemi poggiavano tutti sulla stessa frase: gli invii sono scarsi, quindi gli umani ce la fanno. Nel 2026 la frase non regge più, e la grande maggioranza dei prodotti non ha riprogettato il proprio ingresso.

I meccanismi disponibili sono grosso modo tre, e tutti e tre girano già da qualche parte:

1. Una soglia di prova — far produrre a chi invia una prova che la generazione non sa falsificare. I Target Flags di Apple e il PoC preteso da GitHub stanno qui.
2. Stratificazione per reputazione — lasciare che la precisione storica decida la larghezza del canale. La fascia su invito di GitHub più il tetto per i nuovi è la versione completa: chi ci prende incassa 30.000 dollari, chi non ha uno storico si mette in fila.
3. Cauzione o penale — un invio non valido ti costa qualcosa, e il costo torna verso il mittente. Il contrasto ai rimborsi fraudolenti nell’e-commerce gira su questa logica.

La quota viene dopo questi tre. È la più facile da implementare e la meno schizzinosa sul contenuto.

La strada di curl ha un effetto collaterale che va detto: tolti i soldi, chi resta è più preciso, ma è anche meno numeroso. Per un progetto open source è uno scambio accettabile. Per un’azienda che si appoggia a ricercatori esterni per tenere in piedi l’iPhone, forse no. Apple i soldi non può toglierli, quindi doveva trovare un’altra leva, e la prima a portata di mano è stata una quota.

Le stesse persone, le stesse macchine

L’elevazione di privilegi nella condivisione schermo che Apple ha chiuso il 27 luglio, CVE-2026-43760, è stata segnalata da Bynario e da una macchina di nome Atuin. Quello che Apple ha annunciato il 2 agosto è un limite alla velocità con cui quelle stesse persone e quella stessa classe di macchine possono consegnare.

curl ha riaperto stamattina alle 9, sempre senza premio. L’ultima volta che Stenberg ha parlato in pubblico non ha detto che il problema era risolto. Ha detto che forse quelle persone non hanno ancora capito dove mandarle adesso.

Uno ha cambiato l’incentivo, l’altro ha cambiato il cancello. Fra tre mesi varrà la pena tornare a vedere da quale parte i numeri si sono mossi davvero.