Um die Qualität eingereichter Schwachstellenberichte sicherzustellen, hat Apple am 3. August 2026 offiziell eine restriktive Begrenzung für Fehlerberichte eingeführt. Diese Maßnahme richtet sich gegen eine wachsende Flut an automatisierten Einreichungen, die durch den Einsatz von künstlicher Intelligenz (KI) verursacht wird. Bereits im Juni 2026 hatte das Unternehmen erste Schritte unternommen, indem eine Quotenobergrenze sowie eine 30-tägige Abkühlphase für Berichte etabliert wurden.
Maßnahmen gegen KI-generierte Masseneinreichungen
Die neuen Richtlinien sehen vor, dass die Anzahl der aktiven Sicherheitsberichte pro Forscher limitiert wird. Damit reagiert Apple auf die Zunahme minderwertiger Meldungen, die oft ohne ausreichende menschliche Validierung erstellt werden. Experten wie Rafe Pilling von Sophos beobachten, dass sich Bug-Bounty-Programme zunehmend von der bloßen Suche hin zur Validierung von Fehlern in „Maschinengeschwindigkeit“ entwickeln. Laut Adam Boynton von Jamf befinde sich die Branche in einem Wettrüsten, bei dem Verteidiger und Angreifer dieselben KI-Werkzeuge einsetzen.
Für Forscher, die wiederholt KI-generierte Berichte ohne eigene Prüfung einreichen, sieht Apple drastische Sanktionen vor. Solche Akteure können für 180 Tage von Einreichungen im Rahmen des Security-Bounty-Programms ausgeschlossen werden. Sollte es zu mehr als zwei solcher Aussetzungen kommen, droht die dauerhafte Entfernung aus dem Programm. Seriöse Forscher haben jedoch weiterhin die Möglichkeit, eine Erhöhung ihrer individuellen Quote zu beantragen, sofern sie die Relevanz ihrer Arbeit belegen können.
Während große Konzerne ihre Schutzmaßnahmen verschärfen, müssen auch mittelständische Betriebe auf die neue Bedrohungslage durch KI-gestützte Angriffe reagieren. Dieses kostenlose E-Book liefert fundierte Informationen zu aktuellen Cyberbedrohungen und zeigt auf, wie Unternehmen ihre IT-Sicherheit ohne hohe Investitionen stärken können. Gratis-E-Book: Cyber Security Bedrohungen abwenden
Herausforderungen für Sicherheitsforscher am Beispiel Bynario
Die Auswirkungen dieser Quotenregelung zeigen sich am Beispiel des italienischen Startups Bynario. Das Unternehmen nutzt die Plattform „Atlas“, welche auf OpenAI GPT-5.5 basiert, um Schwachstellen zu identifizieren. Innerhalb von nur drei Wochen reichte Bynario über 50 macOS-Schwachstellen bei Apple ein, stieß dann jedoch an die neue Obergrenze. Dies verhinderte zunächst die Meldung einer kritischen Privilege-Escalation-Exploit-Kette.
Zu den Entdeckungen von Bynario gehörte unter anderem die Schwachstelle CVE-2026-43760. Diese Lücke in der Bildschirmfreigabe von macOS ermöglichte es authentifizierten VNC-Nutzern, die Memory Integrity Enforcement zu umgehen, geschützte Dateien zu lesen und Befehle mit Root-Rechten auszuführen. Der Marktwert für einen solchen Exploit wird von Bynario-CEO Alfredo Pesoli auf 100.000 bis 200.000 US-Dollar geschätzt. Apple hat diese spezifische Schwachstelle in macOS Tahoe 26.6 behoben und befindet sich nach eigenen Angaben im Austausch mit Bynario, um die weiteren Einreichungen zu prüfen.
Der technologische Wandel bringt nicht nur Chancen, sondern auch neue rechtliche Pflichten und Sicherheitsrisiken für die Unternehmensführung mit sich. Erfahren Sie in diesem Experten-Report, welche neuen Gesetze und Bedrohungen Unternehmer jetzt kennen müssen, um ihre Firma langfristig abzusichern. Jetzt kostenlosen Cyber-Security-Report sichern
Apples interne Strategie und finanzielle Anpassungen
Apple nutzt zur Sichtung und Analyse der Berichte sowie zur eigenen Suche nach Schwachstellen in macOS und WebKit ebenfalls KI-Technologien, darunter Modelle von Anthropic und OpenAI Codex Security. In den letzten Monaten verzeichnete Apple einen deutlichen Anstieg der Sicherheitskorrekturen; jüngste Updates enthielten etwa fünfmal mehr Fixes als zuvor. Gleichzeitig wuchs laut Daten von HackerOne die Anzahl der Einreichungen im Jahresvergleich um 76 %, während der Bearbeitungsrückstau um das 21-fache anstieg.
Finanziell hat Apple das Budget für sein Bounty-Programm angepasst. Das Unternehmen zahlte bisher insgesamt 35 Millionen US-Dollar an 800 Forscher aus und erhöhte die maximale Belohnung auf 5 Millionen US-Dollar. Für Zero-Click-Exploits wurde eine Basiszahlung von 2 Millionen US-Dollar festgesetzt. Dem gegenüber stehen jedoch gezielte Kürzungen bei bestimmten Kategorien. Im Oktober 2025 wurden beispielsweise die Prämien für TCC-Bypasses von 30.500 auf 5.000 US-Dollar gesenkt, was einem Rückgang von 83,6 % entspricht. Auch Belohnungen für App-Sandbox-Escapes wurden von 10.500 auf 5.000 US-Dollar reduziert.
