Apple vous paiera jusqu'à 1 million de dollars si vous parvenez à pirater les serveurs Apple Intelligence

Le bug bounty de la société est conçu pour tester la sécurité des serveurs qui traitent les demandes Apple Intelligence.

Vous pensez pouvoir pirater un serveur Apple ? Si tel est le cas, vous pourriez gagner jusqu'à 1 million de dollars grâce à une nouvelle prime aux bogues. Jeudi, Apple a dévoilé un défi pour tester la sécurité des serveurs qui joueront un rôle majeur dans son service Apple Intelligence.

Alors qu'Apple se prépare au lancement officiel de son service basé sur l'IA la semaine prochaine, la société se concentre naturellement sur la sécurité. Bien qu'une grande partie du traitement des demandes Apple Intelligence se fasse sur votre appareil, certaines d'entre elles devront être traitées par les serveurs Apple. Connus collectivement sous le nom de Private Cloud Compute (PCC), ces serveurs doivent être renforcés contre tout type de cyberattaque ou de piratage pour se prémunir contre le vol et la compromission de données.

Apple a déjà pris des mesures proactives en matière de protection du PCC. Après avoir initialement annoncé Apple Intelligence, la société a invité des chercheurs en sécurité et confidentialité à inspecter et vérifier la sécurité et la confidentialité de bout en bout des serveurs. Apple a même donné à certains chercheurs et auditeurs l'accès à un environnement de recherche virtuel et à d'autres ressources pour les aider à tester la sécurité du PCC. Désormais, l’entreprise ouvre la porte à quiconque souhaite tenter de pirater sa collection de serveurs.

Pour donner une longueur d'avance aux gens, Apple a publié un guide de sécurité informatique dans le cloud privé. Ce guide explique le fonctionnement de PCC en mettant particulièrement l'accent sur la façon dont les demandes sont authentifiées, comment inspecter les logiciels exécutés dans les centres de données Apple et comment la confidentialité et la sécurité de PCC sont conçues pour résister à différents types de cyberattaques.

L'environnement de recherche virtuel (VRE) est également ouvert à toute personne en lice pour le bug bounty. Fonctionnant sur un Mac, le VRE vous permet d'inspecter les versions logicielles du PCC, de télécharger les fichiers de chaque version, de démarrer une version dans un environnement virtuel et de lancer le logiciel PCC pour l'étudier plus en détail. Apple a même publié le code source de certains composants clés de PCC, accessible sur GitHub.

Et maintenant, qu'en est-il de cette prime aux bugs ? Le programme est conçu pour découvrir les vulnérabilités dans trois domaines principaux :

• Divulgation accidentelle de données : vulnérabilités qui exposent des données en raison de défauts de configuration PCC ou de problèmes de conception du système.
• Compromission externe due aux demandes des utilisateurs : vulnérabilités qui permettent aux attaquants d'exploiter les demandes des utilisateurs pour obtenir un accès non autorisé au PCC.
• Accès physique ou interne : vulnérabilités dans lesquelles l'accès aux interfaces internes de PCC permet à quelqu'un de compromettre le système.

En détaillant davantage, voici les montants qu'Apple paiera pour différents types de piratages et de découvertes :

• Divulgation accidentelle ou inattendue de données en raison d'un problème de déploiement ou de configuration - 50 000 $
• Capacité à exécuter du code qui n'a pas été certifié - 100 000 $.
• Accès aux données de demande d'un utilisateur ou à d'autres détails utilisateur sensibles en dehors de la limite de confiance -- la zone dans laquelle le niveau de confiance change en raison de la nature sensible des données capturées -- 150 000 $.
• Accès aux données de demande d'un utilisateur ou à des informations sensibles sur les demandes de l'utilisateur en dehors des limites de confiance : 250 000 $.
• Exécution arbitraire de code sans l'autorisation ou la connaissance de l'utilisateur avec des droits arbitraires : 1 000 000 $.

Cependant, Apple promet d'envisager d'accorder de l'argent pour tout problème de sécurité ayant un impact significatif sur PCC, même s'il ne correspond pas à une catégorie publiée. Ici, l'entreprise évaluera votre rapport en fonction de la qualité de votre présentation, de la preuve de ce qui peut être exploité et de l'impact sur les utilisateurs. Pour en savoir plus sur le programme de bug bounty d'Apple et comment soumettre vos propres recherches, parcourez la page Apple Security Bounty.

"Nous espérons que vous approfondirez la conception de PCC avec notre guide de sécurité, explorerez le code vous-même avec l'environnement de recherche virtuel et signalerez tout problème rencontré via Apple Security Bounty", a déclaré Apple dans son message. « Nous pensons que Private Cloud Compute est l'architecture de sécurité la plus avancée jamais déployée pour le calcul de l'IA dans le cloud à grande échelle, et nous sommes impatients de travailler avec la communauté des chercheurs pour renforcer la confiance dans le système et le rendre encore plus sécurisé et privé au fil du temps.