Sebuah startup yang berbasis di Milan telah menemukan eksploitasi pengambilalihan penuh di macOS, menggunakan ChatGPT sebagai alat riset. Namun perusahaan tersebut tidak dapat melaporkan kerentanan ini kepada Apple — karena batas pengiriman baru dari perusahaan tersebut memblokir pengajuan.
Bagaimana eksploitasi ditemukan
Tim keamanan startup tersebut sedang menguji internal macOS dengan bantuan ChatGPT, mencari kelemahan. Mereka menemukan rantai bug yang, jika dieksploitasi, akan memberikan penyerang kendali penuh atas Mac target — tanpa interaksi pengguna yang diperlukan selain kompromi awal. Tim mengonfirmasi eksploitasi tersebut berfungsi pada versi terbaru macOS.
ChatGPT membantu para peneliti mempercepat analisis mereka, menghasilkan potongan kode dan menyarankan vektor serangan. Startup tersebut menolak untuk menyebutkan komponen macOS spesifik yang terlibat, dengan alasan kekhawatiran pengungkapan yang bertanggung jawab.
Batas pengiriman Apple memblokir laporan
Apple baru-baru ini memperkenalkan batas pada jumlah laporan kerentanan yang dapat diajukan oleh satu peneliti atau organisasi melalui portal keamanan resminya. Startup tersebut telah mencapai batas itu dengan temuan-temuan yang lebih awal dan kurang kritis. Ketika mereka mencoba mengajukan eksploitasi pengambilalihan penuh, sistem menolak pengajuan tersebut.
Perusahaan mengatakan tidak memiliki cara untuk meningkatkan masalah di luar portal yang dibatasi. Tim keamanan Apple tidak menerima laporan melalui email atau saluran lain untuk jenis bug ini. Startup tersebut kini terjebak dengan kerentanan kritis yang tidak dapat mereka ungkapkan secara bertanggung jawab.
Apa arti batas ini bagi riset keamanan
Batas pengiriman Apple dirancang untuk mencegah spam dan laporan berkualitas rendah membanjiri tim keamanannya. Namun kebijakan ini juga menjaring temuan-temuan yang sah dan berisiko tinggi. Startup Milan bukan yang pertama mencapai batas tersebut — peneliti lain telah mengeluh secara publik tentang batas yang memblokir bug serius.
Apple belum berkomentar tentang kasus spesifik ini. Dokumentasi keamanan perusahaan menyatakan bahwa peneliti yang melebihi batas harus menunggu hingga kuartal berikutnya untuk mengajukan laporan baru. Itu berarti eksploitasi tersebut bisa tetap tidak dilaporkan selama berminggu-minggu atau berbulan-bulan.
Apa yang terjadi selanjutnya
Startup tersebut sedang mempertimbangkan opsi-opsinya. Mereka bisa menunggu batas direset, berharap tidak ada aktor jahat yang menemukan celah yang sama sementara itu. Atau mereka bisa mempublikasikan detail eksploitasi secara terbuka — langkah yang akan memaksa Apple bertindak tetapi juga menempatkan pengguna pada risiko.
Untuk saat ini, eksploitasi tersebut tetap menjadi rahasia yang hanya diketahui oleh startup dan, mungkin, siapa pun yang memantau keluaran ChatGPT. Perusahaan belum memutuskan tindakan apa yang akan diambil. Batas pengiriman Apple membuat mereka tidak punya pilihan yang baik.
