Apple hat neue Maßnahmen für sein Sicherheits-Belohnungsprogramm eingeführt, um die Qualität eingehender Meldungen zu sichern. Wie Anfang August bekannt wurde, implementiert der Technologiekonzern eine Obergrenze sowie eine 30-tägige Abkühlphase für Einreichungen von Schwachstellen. Hintergrund dieser Neuerung ist eine massiv gestiegene Anzahl an Berichten, die mithilfe von künstlicher Intelligenz erstellt wurden und die Prüfungsprozesse des Unternehmens belasten.
Strengere Regeln für automatisierte Fehlermeldungen
Die neu eingeführte „Cool-off-Periode“ sieht vor, dass Sicherheitsforscher nach einer gewissen Anzahl an Meldungen pausieren müssen, bevor sie weitere Berichte einreichen können. Experten sehen darin eine direkte Reaktion auf automatisierte Skripte, die massenhaft potenzielle Sicherheitslücken generieren. Apple lässt jedoch einen Spielraum für professionelle Akteure: Forscher haben die Möglichkeit, höhere Kontingente für ihre Einreichungen zu beantragen, sofern sie eine entsprechende Qualität ihrer Arbeit nachweisen können.
Gleichzeitig verschärft das Unternehmen die Sanktionen bei Missbrauch. Sollten Forscher wiederholt KI-generierte Berichte einreichen, ohne diese zuvor einer menschlichen Validierung unterzogen zu haben, droht eine Sperre von 180 Tagen. Werden mehr als zwei solcher Sperren ausgesprochen, führt dies laut Branchenberichten zum permanenten Ausschluss aus dem Security-Bounty-Programm.
Interne Triage und steigende Auszahlungen
Um der wachsenden Komplexität und Menge der Meldungen Herr zu werden, setzt Apple auch intern verstärkt auf künstliche Intelligenz. Für die sogenannte Triage, also die Ersteinschätzung und Priorisierung der eingehenden Berichte, nutzt der Konzern unter anderem Technologien von Anthropic und OpenAI. Diese Strategie scheint notwendig, da in den jüngsten Software-Updates bereits fünfmal so viele Fehlerbehebungen veröffentlicht wurden wie in vergleichbaren Zeiträumen zuvor.
Trotz der neuen Beschränkungen zeigt sich das Programm finanziell attraktiv. Apple hat die maximale Auszahlungssumme für besonders kritische Schwachstellen auf über 5 Millionen US-Dollar angehoben. Zum Vergleich: Im November 2025 lag die Spitzenvergütung noch bei 2 Millionen US-Dollar, wobei zusätzliche Boni bereits damals Gesamtsummen von über 5 Millionen US-Dollar ermöglichen konnten. Zudem wurden sogenannte „Target Flags“ eingeführt, um den Fokus der Forscher auf spezifische Sicherheitsbereiche zu lenken. Seit dem Start des Programms hat Apple mehr als 35 Millionen US-Dollar an über 800 Sicherheitsforscher ausgezahlt.
Wer sich mit der zunehmenden Professionalisierung von Cyberangriffen befasst, benötigt fundierte Strategien für den eigenen Betrieb. Dieses kostenlose E-Book liefert praxisnahe Informationen, wie Unternehmen Sicherheitslücken schließen und aktuelle gesetzliche Anforderungen erfüllen können. Gratis-Ratgeber für proaktive IT-Sicherheit herunterladen
Fallbeispiel Bynario unterstreicht die neue Dynamik
Die Wirksamkeit von KI-gestützter Suche nach Sicherheitslücken verdeutlicht das Beispiel des italienischen Startups Bynario. Das Unternehmen nutzte die Plattform „Atlas“, welche auf GPT-5.5 basiert, um mehr als 50 Schwachstellen in macOS zu identifizieren. Darunter befand sich eine kritische Kette zur Ausweitung von Zugriffsrechten, die als CVE-2026-43760 geführt und in der Version macOS Tahoe 26.6 behoben wurde.
Allerdings stießen die Forscher von Bynario aufgrund der neuen Richtlinien auch an Grenzen. Eine weitere schwerwiegende Lücke, die unter anderem die Bildschirmfreigabe betraf, konnte wegen der geltenden Obergrenze nicht mehr rechtzeitig gemeldet werden. Der Wert dieser spezifischen Schwachstelle auf dem Schwarzmarkt wird von Experten auf 100.000 bis 200.000 US-Dollar geschätzt. Apple hat inzwischen Kontakt zu dem Startup aufgenommen und prüft die vorliegenden Einreichungen.
Angesichts der neuen Bedrohungen durch künstliche Intelligenz stehen viele Verantwortliche vor der Frage, welche rechtlichen Pflichten sie nun kennen müssen. Ein kostenloser Report klärt über aktuelle Cyberrisiken auf und zeigt, wie sich Unternehmen langfristig vor Angriffen schützen. Jetzt kostenlosen Cyber-Security-Report sichern
Analysten von Sophos beobachten in diesem Zusammenhang eine grundlegende Verschiebung in der Branche. Die Herausforderung für Bug-Bounty-Programme liege zunehmend nicht mehr nur im Finden von Schwachstellen, sondern in deren Validierung bei gleichzeitigem Einsatz von KI-Werkzeugen in „Maschinengeschwindigkeit“.
