Apple радикально пересматривает свою программу вознаграждений за обнаружение уязвимостей. Теперь максимальная выплата за цепочку эксплойтов, сопоставимых по сложности с атаками на уровне наёмного шпионского ПО, составит $2 млн — рекордную сумму в истории программы.
Обновлённая система вознаграждений вступит в силу в ноябре 2025 года. Помимо основной премии, Apple предлагает бонусы за обход режима Lockdown Mode («режим блокировки») и уязвимости, найденные в бета-версиях программ, что может увеличить общий размер выплат до $5 млн.
Как отмечает компания, теперь акцент смещён с отдельных уязвимостей на полные цепочки атак, что отражает реальную структуру кибератак, где злоумышленники комбинируют несколько ошибок в системе. Размер вознаграждений за удалённые векторы входа значительно увеличен, а категории, редко встречающиеся в реальных атаках, наоборот, будут оцениваться ниже.
Новая программа также вводит систему Target Flags — аналог захвата флага в киберспортивных соревнованиях. Исследователи, успешно эксплуатировавшие уязвимость, смогут «захватить» цифровой флаг, фиксирующий уровень достигнутого доступа (например, выполнение кода или произвольное чтение/запись данных). После верификации Apple участники смогут получить выплату сразу, не дожидаясь выхода обновления безопасности, как это происходило ранее.
Компания также расширила список категорий. Так, за однокликовый обход песочницы WebKit можно получить до $300 000, за беспроводную атаку по любому радиоинтерфейсу — до $1 млн, а полный обход Gatekeeper в macOS оценивается в $100 000.
С момента запуска публичной программы Bug Bounty в 2020 году Apple выплатила более $35 млн свыше 800 исследователям безопасности. В компании подчёркивают, что обновлённая система станет «самой щедрой на рынке» и направлена на усиление сотрудничества с экспертным сообществом в борьбе с целевыми атаками и промышленным шпионажем.
Обновление программы сигнализирует о стремлении Apple превратить безопасность в стратегическое преимущество — не только защищая пользователей, но и мотивируя лучших специалистов искать уязвимости до того, как это сделают злоумышленники.
Ещё по теме: