Một startup có trụ sở tại Milan đã phát hiện một lỗ hổng chiếm quyền toàn bộ trong macOS, sử dụng ChatGPT như một công cụ nghiên cứu. Nhưng công ty không thể báo cáo lỗ hổng cho Apple — vì giới hạn nộp báo cáo mới của công ty chặn việc gửi.
Cách lỗ hổng được tìm ra
Nhóm bảo mật của startup đã kiểm tra nội bộ macOS với sự trợ giúp của ChatGPT, tìm kiếm các điểm yếu. Họ tìm thấy một chuỗi lỗi mà nếu bị khai thác, sẽ cho phép kẻ tấn công kiểm soát hoàn toàn một chiếc Mac mục tiêu — không cần tương tác của người dùng ngoài việc bị xâm nhập ban đầu. Nhóm đã xác nhận lỗ hổng hoạt động trên phiên bản macOS mới nhất.
ChatGPT đã giúp các nhà nghiên cứu tăng tốc phân tích, tạo ra các đoạn mã và đề xuất các vectơ tấn công. Startup từ chối nêu tên thành phần macOS cụ thể liên quan, với lý do lo ngại về tiết lộ có trách nhiệm.
Giới hạn nộp của Apple chặn báo cáo
Apple gần đây đã giới thiệu giới hạn về số lượng báo cáo lỗ hổng mà một nhà nghiên cứu hoặc tổ chức có thể gửi qua cổng thông tin bảo mật chính thức của họ. Startup đã đạt đến giới hạn đó với các phát hiện ít nghiêm trọng hơn trước đó. Khi họ cố gắng nộp báo cáo về lỗ hổng chiếm quyền toàn bộ, hệ thống đã từ chối.
Công ty cho biết họ không có cách nào để nâng vấn đề lên ngoài cổng bị giới hạn. Nhóm bảo mật của Apple không chấp nhận báo cáo qua email hoặc các kênh khác cho loại lỗi này. Startup hiện bị mắc kẹt với một lỗ hổng nghiêm trọng mà họ không thể tiết lộ một cách có trách nhiệm.
Giới hạn có ý nghĩa gì đối với nghiên cứu bảo mật
Giới hạn nộp của Apple được thiết kế để ngăn chặn thư rác và các báo cáo chất lượng thấp làm quá tải nhóm bảo mật của họ. Nhưng chính sách này cũng bắt gặp các phát hiện hợp pháp, mức độ nghiêm trọng cao. Startup Milan không phải là người đầu tiên chạm giới hạn — các nhà nghiên cứu khác đã công khai phàn nàn về việc giới hạn chặn các lỗi nghiêm trọng.
Apple chưa bình luận về trường hợp cụ thể này. Tài liệu bảo mật của công ty nêu rõ rằng các nhà nghiên cứu vượt quá giới hạn phải đợi đến quý tiếp theo để gửi báo cáo mới. Điều đó có nghĩa là lỗ hổng có thể không được báo cáo trong nhiều tuần hoặc nhiều tháng.
Điều gì xảy ra tiếp theo
Startup đang cân nhắc các lựa chọn. Họ có thể đợi giới hạn được đặt lại, hy vọng không có kẻ tấn công độc hại nào phát hiện ra cùng một lỗ hổng trong thời gian đó. Hoặc họ có thể công khai chi tiết lỗ hổng — một động thái sẽ buộc Apple phải hành động nhưng cũng đặt người dùng vào rủi ro.
Hiện tại, lỗ hổng vẫn là bí mật chỉ có startup và có thể là bất kỳ ai theo dõi đầu ra của ChatGPT biết. Công ty chưa quyết định hướng hành động. Giới hạn nộp của Apple khiến họ không có lựa chọn tốt nào.
