Apple、バグ報告数を制限─Bynario、最大20万ドル相当とCEOが推定するmacOS脆弱性を提出できず

Bynarioは3週間で50件超のmacOS脆弱性候補を掘り当て、うち1件はCVE番号を割り当てられて修正されました。実績のある研究者です。その同じ会社が、次に見つけた最も深刻なチェーンを提出できませんでした。AI生成の粗悪な報告を防ぐための上限が、本物を弾いた形です。

Financial Timesが2026年8月2日に報じたところによれば、Appleは同年6月、セキュリティ研究者が同時に提出・保持できるバグレポートの件数に上限を設け、30日のクールオフ期間を導入した。

幻覚による脆弱性を含む低品質なAI生成レポートが大量に届き、審査の処理が滞っているためである。この措置により、イタリアのスタートアップBynarioは、ChatGPTを用いて発見した重大なmacOSの脆弱性を報告できなかった。攻撃者にマシンの完全な掌握を許し得るものだった。

同社CEOのアルフレド・ペゾーリは、この欠陥のブラックマーケットでの価値を10万ドルから20万ドルと見積もっている。その後、AppleからBynarioへの接触があった。一方、Apple自身もAnthropicとOpenAIのAIを脆弱性への対応に用いており、7月27日公開のアップデートには通常の5倍の修正が含まれていた。

Sophosのレイフ・ピリングはFinancial Timesに対し、バグバウンティプログラムは脆弱性を発見するものから、機械の速度で検証するものへ変わったと述べた。

From: A real macOS flaw worth $200K went unreported because Apple’s bug bounty inbox was full of AI slop

【編集部解説】

バグバウンティという仕組みは、約30年にわたり、ひとつの前提の上に成り立ってきました。脆弱性を「見つける」ことが難しく、希少で、だからこそ金銭で報いる価値がある——という前提です。今回Appleに起きているのは、その前提そのものが崩れた結果だと捉えると、事態の輪郭がはっきりします。

Sophosのレイフ・ピリング氏が語った「機械の速度で検証する」という言葉は、ボトルネックの移動を指しています。発見のコストが急落し、その分だけ検証のコストが相対的に跳ね上がった。Appleが提出数に上限をかけたのは、発見が減ったからではなく、増えすぎたからです。

ここで押さえておきたいのは、Appleの制限が二層構造になっている点です。ひとつは以前から公開されている規定で、理論上の問題や人による検証を欠いたAI由来の報告を繰り返した研究者は、処理を180日間停止される可能性があります。停止期間が2回を超えると、プログラムからの恒久的な除外もあり得ます。停止中は報奨金もセキュリティアドバイザリでのクレジットも受けられません。もうひとつが今回新たに報じられた、同時に未処理として保持できる報告数の上限と、30日のクールオフ期間です。前者は不適格な報告を繰り返す研究者への処理停止措置であり、後者は提出の流量を抑える制御です。ただしFinancial Timesによれば、研究者は必要に応じて上限の引き上げを申請できるとされており、一律に固定された枠ではありません。適用された経路について、FTは「内部のセキュリティポータル」と記すにとどめています。

そのBynarioが、AI発見の脆弱性が絵空事ではないことを最も雄弁に示しています。ミラノを拠点とする同社は、3週間で50件超のmacOS脆弱性候補を発見しました。うち画面共有に関する1件はCVE-2026-43760として、macOS Tahoe 26.6およびmacOS Sonoma 14.8.8で修正済みです。ただし成立条件は限定的で、画面共有かリモート管理が有効であること、レガシーなVNCパスワード認証が使われていること、そして攻撃者がそのパスワードを把握していることが前提になります。そのうえで、認証済みのビューアが保護されたデータを読み取り、root権限でファイルを作成できるというものでした。同社はCVSSを8.0、条件によっては8.8と評価しています。報告できなかった権限昇格チェーンは、これとは別の成果です。つまり同じ組織が、実証済みの実績を持ちながら、次の一手で入口を塞がれた。ペゾーリ氏がブラックマーケットでの価値を10万〜20万ドル（1ドル＝157円換算で約1570万〜3140万円、2026年8月1日時点のレート）と見積もっているのは、あくまで同氏の推定ですが、それでも重く響きます。

受け取る側の事情も、同じ地殻変動の上にあります。FTは、Appleが報告のトリアージにAIを使い始めていると報じました。絞る側も、絞られる側と同じ道具を握っているという構図です。加えて、7月27日に公開された一連のアップデートのアドバイザリには、ClaudeやOpenAIのCodex Securityといったツールを用いて脆弱性を発見した研究者に加え、NVIDIAのAI Red Teamに所属する研究者への謝辞も並びました。AnthropicのミラドナスルとニコラスカルリーニがClaudeを用いて発見したWebKitのメモリ関連脆弱性は、前者の代表例です。件数も跳ね上がりました。macOS Tahoe 26.6では155件、iOSとiPadOSの26.6では87件が修正されています。FTは通常の更新サイクルの約5倍と報じていますが、比較の取り方は明らかにされていません。2026年5月の26.5と単純に比べると、macOSは約80件から約1.9倍、iOSは60件超から約1.4倍です。それでも、修正件数が明確に増えていること自体は、公開されたアドバイザリから確認できます。

報奨金の設計も、この変化を先取りしていました。Appleは2025年10月に制度の刷新を発表し、同年11月から最高額を200万ドルに引き上げています。ボーナスを含めれば500万ドルを超える可能性があり、2020年の公開以来の支払総額は3500万ドル超、対象は800人以上です。同時に導入された「Target Flags」は、OSに埋め込まれた旗を捕捉させることで、研究者に「理論上あり得る」ではなく「実際にここまで到達した」ことを機械的に証明させる仕組みでした。私はこれを、検証コストの一部を提出側へ移す設計だと見ています。今回の流量制御と同じ問題意識から生まれた措置と読めます。

ただ、絞ることが唯一の答えかというと、そうとも限りません。curlプロジェクトは2026年2月1日に有償バウンティを完全に停止しましたが、3月にはHackerOneの報告窓口へ戻っています。4月時点でダニエル・ステンバーグ氏が報告した数字は示唆的です。報告頻度は2025年の約2倍と過去最高でありながら、確認済み脆弱性の割合はAI普及前の2024年水準に戻り、15〜16%に達している。スロップはもはや問題ではなくなった、と本人が書いています。品質は回復し、残った課題は純粋に量でした。

この対比から、私はひとつの仮説を持っています。AIによる脆弱性報告の氾濫は、一時的な移行期の現象だったのではないか。粗製濫造が減り、質の高い報告が大量に届く段階に入ったとき、問われるのは「入口をどう絞るか」ではなく「どれだけ捌ける体制を持つか」になります。ステンバーグ氏はcurlが2026年に50件近いCVEを公開する見込みだと述べ、メンテナの負荷はさらに悪化すると警告しました。ただしこれはcurlという単一プロジェクトでの観測であり、Appleの規模にそのまま当てはまる保証はありません。

長期的に気がかりなのは、経済圏の縮小という可能性です。大手が脆弱性発見を内製化していけば、外部研究者が正規ルートで得られる期待値は下がるかもしれません。一方でブラックマーケットの価格は、正規ルートが機能しなくなるほど相対的に魅力を増す。ただしAppleは最高報奨額をむしろ引き上げており、この筋書きが現実になると断じる材料はまだありません。今回Bynarioが正しい振る舞いを選び、Appleも事後に接触したことで最悪の事態は避けられました。同じ状況に置かれた誰もが同じ判断をするとは限らない、というリスクの指摘にとどめておきます。

攻撃側も防御側も同じ道具を手にしている以上、先に見つけて先に直せるかどうかが分水嶺になります。Appleは増枠申請を併用した流量制御を選び、curlは外部からの報告を受け止める側へ戻りました。どちらが正解かは、まだ結論の出ていない実験の途中経過だと見ています。

【関連記事】

BugHunter、サブスク不要に─AIバグバウンティがローカルLLMで誰の手にも（内部）
curlの報奨金停止とHackerOne復帰を同じ文脈で扱った記事。本件と最も近接する。

Dirty Cow、Dirty Pipe、そして Copy Fail──Linux LPE「三世代」の比較が照らす、AIが脆弱性を発見する時代の輪郭（内部）
curlのHackerOne脱退とIBB一時停止を扱う。制度が軋む業界文脈の土台になる。

Linuxカーネルに19年間のtype confusion─GMOイエラエとAIが解き明かした「見えないバグ」の全容（内部）
AIが長年潜んだ脆弱性を掘り起こした国内事例。発見側の加速を示す最新の一本。

【編集部後記】

Bynarioは待ちました。10万〜20万ドルという自社の見積もりを口にしながら、それでも正規のルートが開くのを待った。この判断のほうが、制度の設計より重い気がしています。

ペゾーリ氏がその金額を持ち出したのは、売る気があったからではなく、待つことのコストを言葉にしたかったからだと読みました。上限も、クールオフも、増枠申請も、すべては「待たせる」仕組みです。待たされた側が誠実であり続ける保証は、どこにも書かれていません。あなたが同じ立場だったら、30日を待てるでしょうか。

【用語解説】

バグバウンティ（報奨金制度）
企業が自社製品の脆弱性を外部の研究者から報告してもらい、内容に応じて報酬を支払う仕組みだ。商用の先例は1995年のNetscapeにさかのぼり、大手テック企業への普及は2000年代末から2010年代初頭にかけて進んだ。

AIスロップ
生成AIによって大量に作られた、質の低いコンテンツを指す俗称。セキュリティの文脈では、実在しない脆弱性をもっともらしく記述した報告書を指す。「スロップ」は英語で家畜の餌や粗末な食べ物を意味する語である。

幻覚（ハルシネーション）
生成AIが、事実に基づかない情報を事実であるかのように出力する現象。脆弱性報告では、存在しないコード経路や再現しない攻撃手順として現れる。

権限昇格チェーン
複数の脆弱性を連鎖させ、段階的に権限を高めて最終的に管理者権限を奪取する攻撃手法。しばしば単体では影響の限定的な欠陥が組み合わされるため、検証には高い専門性を要する。

root権限
UNIX系OSにおける最上位の管理者権限。取得されるとファイルの読み書きから設定変更まで非常に広い操作が可能になるが、ハードウェアやセキュリティ機構による制約は残る。

CVE
共通脆弱性識別子。個別の脆弱性に世界共通の番号を割り当てる仕組みで、「CVE-2026-43760」のように西暦と連番で構成される。修正状況の追跡や、製品間での情報共有に用いられる。

セキュリティアドバイザリ
修正版の公開時に、対処した脆弱性の内容と発見者を記載する公式文書。研究者にとっては金銭以外の実績となるため、掲載可否は報奨金と並ぶ重要事項である。ただし匿名を希望した場合など、謝辞が載らない例もある。

Target Flags
Appleが2025年10月に発表し、同年11月から適用を開始した仕組み。OSの内部に「旗」を埋め込み、研究者が実際にそこへ到達できたかを機械的に検証する。理論上の可能性ではなく実証を求める設計で、捕捉した旗が示す能力の水準が報奨金額と相関する。

Feedback Assistant
Appleが開発者向けに提供する不具合報告ツール。セキュリティ脆弱性については、Apple Security Researchの専用窓口が案内されている。

クールオフ期間
一定の提出を行った後、次の提出まで待たされる待機期間。今回は30日間とされる。悪質な行為への罰則ではなく、流量を平準化する制御として機能する。

VNC
遠隔地から別のコンピューターの画面を操作するための通信規格。macOSの画面共有機能はこれを基盤としており、今回修正された脆弱性もこの経路に関わるものだった。

WebKit
Appleが開発するブラウザーエンジン。Safariの中核であり、iOSの他社ブラウザーも長らくその利用を求められてきた。現在はEUなど一部地域で代替エンジンが認められている。

ブラックマーケット（脆弱性の地下市場）
未公表の脆弱性やその攻撃コードが売買される非公式の市場。国家系の攻撃グループやスパイウェア事業者が買い手になるとされる。CrowdfenseやZerodiumのようなブローカーが買取価格表を公開した例はあるものの、市場全体の実売価格や取引量を網羅する信頼できる公開統計は存在しない。