Apple увеличивает максимальную выплату за обнаружение уязвимостей до 2 миллионов долларов для борьбы с наемническим шпионским ПО

Apple объявила о масштабной эволюции своей программы вознаграждений за поиск уязвимостей (Security Bounty), внедрив самые высокие в отрасли выплаты и новые исследовательские категории, чтобы стимулировать борьбу с самыми изощренными угрозами. Компания удваивает максимальную выплату до 2 миллионов долларов за цепочки эксплойтов, имитирующие реальные атаки наемного шпионского ПО.

Новая структура призвана адаптироваться к меняющейся ландшафтной безопасности Apple, которая, по заявлению компании, сделала разработку работающих эксплойтов более сложной и дорогостоящей. С учетом бонусов за обход Режима изоляции (Lockdown Mode) или обнаружение уязвимостей в бета-версиях ПО максимальное потенциальное вознаграждение может превысить 5 миллионов долларов.

Программа также увеличивает выплаты по ряду других категорий. Исследователи, продемонстрировавшие полный обход Gatekeeper без участия пользователя, теперь имеют право на награду в размере 100 000 долларов, в то время как те, кто добьется широкого несанкционированного доступа к данным iCloud, могут заработать до 1 миллиона долларов. Apple также расширяет категории вознаграждений, предлагая до 300 000 долларов за побег из песочницы WebKit в один клик и до 1 миллиона долларов за беспроводные прокси-эксплойты через любые радиоинтерфейсы — в эту категорию теперь входят устройства с собственными чипами компании: модемом C1X и беспроводным чипом N1.

Вводится новая функция под названием Target Flags (Целевые флаги), позволяющая исследователям объективно демонстрировать свои находки и претендовать на ускоренные выплаты. Вдохновленные соревнованиями по захвату флага (CTF), эти флаги встроены в операционные системы Apple и при захвате служат проверяемым доказательством возможностей эксплойта. Это позволяет Apple обрабатывать выплаты сразу после проверки, еще до выпуска исправления.

Apple заявляет, что эти изменения стали ответом на собственные успехи компании в области безопасности — такие как функция обеспечения целостности памяти (Memory Integrity Enforcement) в новом iPhone 17, которая подняла планку для исследователей безопасности. Компания также объявила о новой премии в размере 1000 долларов за проблемы с низким уровнем воздействия, чтобы поддержать исследователей, только начинающих работу с ее платформами.

В рамках этой инициативы Apple передат тысячу смартфонов iPhone 17 организациям гражданского общества, чтобы обеспечить пользователей из групп риска новейшими средствами защиты. Программа устройств для исследований в области безопасности (Security Research Device Program) на 2026 год также будет включать iPhone 17, а прием заявок продлится до 31 октября 2025 года.

Обновленная программа вознаграждений официально вступит в силу в ноябре 2025 года, когда Apple планирует опубликовать полный список новых категорий, наград и бонусов.