Priču koju je objavio Financial Times, pod naslovom "Apple posustaje pred valom AI lovaca na bugove", na prvi se pogled može shvatiti kao problem prepunog inboxa, što je djelomično točno jer svaku takvu prijavu na kraju mora provjeriti čovjek, čak i kada Appleu u početnom razvrstavanju pomažu vlastiti modeli. No kad se zaroni dublje iza naslova, teško se oteti dojmu da se nešto važno prelomilo i poremetilo mehanizam o kojem smo mi, korisnici Appleovih uređaja, dosad ovisili.

Povjerenje izgrađeno na rijetkosti

Dosadašnji je model počivao na razmjerno malom broju prijava. Pronaći ozbiljan propust bilo je skupo i sporo, pa je već i sama prijava bila znak da iza nje stoji netko tko zna što radi. Na tome se gradilo povjerenje između Applea i etičkih hakera. Modeli su tu tihu suradnju, praktički preko noći, pretvorili u gromoglasan prasak. Kada sedmeročlani startup iz Milana uz pomoć ChatGPT-a u tri tjedna pronađe pedesetak grešaka u najnovijem macOS-u, a među njima i način za eskalaciju privilegija koji napadaču daje puni nadzor nad računalom, jasno je da je broj pronađenih propusta eksplodirao. Problem je postala procjena: tko će među tisuću uvjerljivih prijava prepoznati onu koja stvarno drži vodu.

Apple nije jedini

GitHub, u Microsoftovu vlasništvu, od 27. srpnja iz temelja mijenja svoj program nagrada, i to potezom koji ide korak dalje od Appleova. Umjesto da samo ograniči broj prijava, posegnuo je za novcem: uvodi dvorazinski sustav koji smanjuje nagrade za javne prijave i istodobno nudi znatno veće iznose novoj skupini sastavljenoj od pozvanih istraživača. U javnom su programu nagrade prepolovljene, pa i više od toga: iznos za kritičnu ranjivost pada s 30.000 na 10.000 dolara dok u zatvorenom programu isti takav nalaz vrijedi najmanje 30.000. Ulaznicu, međutim, dobivaju samo oni s dokazanom poviješću valjanih prijava.

Smanjiti šum, usredotočiti se na signal

Motiv je isti kao kod Applea: poplava površnih i automatski generiranih izvještaja. Umjesto da potiče više prijava, GitHub želi uložiti u one koji su dokazali da znaju pronaći stvarni propust. Cilj je, poručuje Catherine Cassell, inženjerka sigurnosti proizvoda u GitHubu, smanjiti šum kako bi se tvrtka mogla usredotočiti na signal. Uz to uključuje i HackerOneov mehanizam koji novim istraživačima ograničava broj prijava dok ne izgrade povijest legitimnih nalaza, uz nekoliko prilika da se dokažu. Kladi se, ukratko, da će manje prijava od provjerenih ljudi učiniti za sigurnost više od sve veće hrpe strojno generiranih izvještaja koji čekaju da ih netko analizira.

Strojevi koji čuvaju stražu pred strojevima

Appleova kvota, kao i GitHubov zaokret, nije priznanje poraza, nego prva reakcija na problem koji cijela industrija tek počinje shvaćati, a nad kojim bismo se mi korisnici trebali dobro zamisliti. Smjer je, naime, lako predvidjeti: modeli kao stražari pred modelima, automatizirana trijaža koja odlučuje o automatiziranim prijavama i čovjek u ulozi posljednjeg arbitra nad plimom koja stalno raste.