AI-verktyg översvämmade Apple med skräprapporter — nu begränsas hur många en forskare får lämna in

När hjälpmedlet blir ett problem

Det är sällan man ser en teknisk innovation skapa ett problem just inom det område den var tänkt att förbättra. Men det är precis vad som håller på att ske inom cybersäkerhet — och Apple är nu det tydligaste exemplet på detta.

Sedan juni i år har Apple infört ett maxantal för hur många öppna säkerhetsrapporter en enskild forskare kan ha inne hos företaget samtidigt. Utöver det gäller en karenstid på 30 dagar innan en ny rapport kan lämnas in. Det är den italienska cybersäkerhetsstartupern Bynario som först uppmärksammade förändringen, och Financial Times har sedan bekräftat uppgifterna, enligt Computer Sweden.

Bakom beslutet ligger en konsekvens som få förutsåg när den generativa AI-vågen slog igenom: det har blivit markant enklare att identifiera potentiella sårbarheter i kod. Verktyg som tidigare krävde djup teknisk expertis och hundratals arbetstimmar kan nu användas av vem som helst med grundläggande programmeringskunskaper. Det låter onekligen som en framgångssaga för den digitala säkerheten.

Men kvantitet och kvalitet är sällan samma sak.

Lavinen av bristfälliga fynd

När tröskeln för att hitta och rapportera säkerhetsbrister sänks dramatiskt, följer en naturlig konsekvens: volymen rapporter exploderar, men det genomsnittliga värdet per rapport sjunker. Apples säkerhetsteam har tydligen kommit till en punkt där kostnaden för att manuellt granska undermåliga och ofullständiga felrapporter blivit för hög för att ignorera.

Detta är inte ett unikt problem för Apple. Det är ett strukturellt problem för hela branschen. Traditionella ansvarsutgivningsprogram — där externa säkerhetsforskare belönas för att hitta och rapportera brister — bygger på ett implicit antagande: att forskarna lägger ned tillräckligt med arbete för att säkerställa att fyndet är genuint och välunderbyggt. Generativ AI rubbar den balansen fundamentalt.

Tidigare krävde en välformulerad säkerhetsrapport timmar av analys, verifiering och dokumentation. Nu kan AI-verktyg generera hundratals rapportutkast på en arbetsdag. Resultatet är ett system under press — inte från illvilliga angripare, utan från välmenande men slarviga aktörer som låter AI göra jobbet halvvägs.

Möjlighet och ansvar går hand i hand

Jag vill vara tydlig: detta är inte ett argument mot AI inom cybersäkerhet. Tvärtom. De forskare och företag som använder AI på rätt sätt — som ett verktyg för att skärpa sin analys snarare än att ersätta den — kommer att kunna hitta allvarligare brister snabbare än någonsin. Det är en enorm möjlighet.

Men möjligheten kräver mognad. Och den mognaden saknas uppenbarligen hos en tillräckligt stor del av aktörerna för att Apple ska behöva vidta strukturella åtgärder.

Apple har löst problemet pragmatiskt: ett tak per forskare, en karenstid, och en möjlighet för seriösa aktörer att ansöka om undantag och få sin gräns höjd. Det är en rimlig och proportionerlig åtgärd. Men det är också ett tydligt prejudikat — en signal till hela teknikbranschen om att spelreglerna för ansvarsutgivning behöver uppdateras för AI-eran.

Frågan är vilka som är näst på tur. Google, Microsoft och Meta driver alla stora ansvarsutgivningsprogram. Det vore förvånande om de inte redan brottas med exakt samma problem i sina inkorgar.

Vad det kräver av oss

Det vore lätt att lasta skulden på AI-verktygen. Men det är fel adress. Verktygen gör vad de är designade att göra — de sänker trösklar och demokratiserar tillgång. Ansvaret ligger hos dem som använder dem, och hos de institutioner som sätter ramarna.

För säkerhetsbranschen innebär detta att normer och processer måste anpassas i takt med tekniken. Det handlar om att definiera vad en kvalificerad säkerhetsrapport faktiskt innebär i en värld där AI kan generera den formella strukturen men inte alltid det analytiska djupet.

Apples åtgärd är ett steg i rätt riktning. Men det är bara ett steg.