Der Technologiekonzern Apple reagiert auf die wachsende Bedrohung durch automatisierte Schwachstellen-Scans und hat die maximale Belohnung in seinem Bug-Bounty-Programm auf 2 Millionen US-Dollar verdoppelt. Die Maßnahme zielt darauf ab, Sicherheitslücken zu schließen, die zunehmend von fortgeschrittenen KI-Agenten identifiziert werden. Während die grundsätzliche Anhebung der Top-Prämie bereits im Oktober 2025 erfolgte, wobei Boni in Einzelfällen sogar über 5 Millionen US-Dollar steigen können, verdeutlichen aktuelle Entwicklungen den massiven Einfluss künstlicher Intelligenz auf die Cybersicherheit.
Neue Belohnungsstruktur für kritische Sicherheitslücken
Apple hat die Prämien für verschiedene Angriffsszenarien präzisiert. Für die Entdeckung einer Zero-Click-Schwachstelle im Kernel wird die Höchstsumme von 2 Millionen US-Dollar ausgelobt. Angriffe über den Browser oder drahtlose Schnittstellen, die bis zum Kernel vordringen, können mit bis zu 1 Million US-Dollar vergütet werden. Für einen sogenannten WebKit Sandbox Escape sieht das Programm Belohnungen von 300.000 US-Dollar vor, während die Umgehung des Gatekeepers mit 100.000 US-Dollar dotiert ist.
Seit dem Jahr 2020 hat Apple nach eigenen Angaben mehr als 35 Millionen US-Dollar an über 800 Sicherheitsforscher ausgezahlt. Um die Qualität der Meldungen in Zeiten von KI-generierten Berichten zu sichern, wurden neue Anforderungen eingeführt. Dazu gehören sogenannte Target Flags für nachweisbare Exploits sowie die Pflicht zu einer menschlichen Validierung aller Einreichungen.
Regulierungen gegen die Flut an KI-Berichten
Um die Effizienz des Programms zu erhalten, führte Apple im Juni 2026 Beschränkungen ein. Die Anzahl der gleichzeitig offenen Sicherheitsberichte pro Forscher wurde begrenzt, ergänzt durch einen 30-tägigen Cooldown-Zeitraum. Zudem nutzt der Konzern nun selbst KI-Systeme für die Triage eingehender Meldungen.
Angesichts der rasanten Entwicklung künstlicher Intelligenz stehen viele Unternehmen vor der Herausforderung, neue regulatorische Vorgaben rechtzeitig umzusetzen. Dieser kostenlose Leitfaden bietet einen kompakten Überblick über alle Anforderungen, Pflichten und Fristen des EU AI Acts. EU AI Act in 5 Schritten verstehen
Die neuen Richtlinien verlangen einen funktionierenden Exploit oder einen Proof-of-Concept sowie nummerierte Schritte zur Reproduktion. Lange, rein KI-generierte Beschreibungen werden abgelehnt. Bei wiederholten Einreichungen unvalidierter KI-Berichte droht Forschern eine Sperre von 180 Tagen. Mehr als zwei solcher Sperren führen zu einem permanenten Ausschluss aus dem Programm.
Massive Zunahme an Sicherheitsfixes
Ende Juli veröffentlichte Apple eine Rekordzahl an Patch-Updates. In iOS und iPadOS 26.6 wurden 87 Schwachstellen behoben, in macOS waren es etwa 155 und in den Systemen für watchOS, tvOS sowie visionOS jeweils rund 100. Diese Updates enthielten fünfmal so viele Korrekturen wie üblich. In den Sicherheits-Advisories werden dabei explizit KI-Tools wie Claude und Codex erwähnt.
Innerhalb des Konzerns wird die KI-Initiative unter dem Namen Project Glasswing geführt. Wegen des durch KI beschleunigten Zeitfensters, in dem Exploits entwickelt werden können, lieferte Apple Fixes bereits früher in Zwischenversionen wie iOS 26.5.2 aus. Hinweise auf eine aktive Ausnutzung dieser Lücken lagen zu diesem Zeitpunkt nicht vor.
Wer sich mit den rechtlichen Konsequenzen moderner Technologien befasst, sollte auch die Risikoklassifizierung seiner eigenen Systeme prüfen. Ein kostenloser Report klärt auf, welche KI-Anwendungen als Hochrisiko gelten und was Unternehmen jetzt konkret tun müssen. Kostenlosen Umsetzungsleitfaden zum AI Act sichern
Erfolge automatisierter Schwachstellensuche
Die Relevanz dieser Maßnahmen wird durch Erfolge externer Akteure unterstrichen. Das siebenköpfige Mailänder Unternehmen Bynario konnte mithilfe von ChatGPT innerhalb von drei Wochen über 50 macOS-Schwachstellen identifizieren, darunter eine Kette zur Privilegieneskalation. Laut dem CEO Alfredo Pesoli schätze man den Wert eines kritischen, aber aufgrund von Meldebeschränkungen zunächst nicht eingereichten Exploits auf 100.000 bis 200.000 US-Dollar.
Auch spezialisierte KI-Modelle wie Atlas (GPT-5.5) entdeckten bereits kritische Fehler, etwa eine Schwachstelle im macOS Screen-Sharing (CVE-2026-43760). OpenAI Aardvark erreichte eine Erkennungsrate von 92 Prozent und identifizierte bereits zehn CVE-gelistete Lücken. Bereits im Jahr 2024 fand Googles System Big Sleep einen Fehler in SQLite (CVE-2025-6965).
Branchenweiter Wandel durch KI
Die gesamte Branche steht vor neuen Herausforderungen. Während Unternehmen wie Meta, Microsoft und Apple im Jahr 2025 zusammen mindestens 58 Millionen US-Dollar an Forscher zahlten, sahen sich andere Akteure gezwungen, ihre Programme anzupassen. Bugcrowd verzeichnete im März eine Vervierfachung der Einreichungen, wobei es sich zumeist um Fehlalarme handelte. GitHub reagierte mit einem zweistufigen Meldesystem, während Projekte wie curl und Nextcloud ihre Bug-Bounty-Programme vorerst aussetzten. Experten von Sophos beobachten hierbei eine Verschiebung: Bug-Bounty-Programme wandeln sich zunehmend von der reinen Suche hin zur Validierung von Schwachstellen in Maschinengeschwindigkeit.
