Un chercheur récompensé pour avoir hacké Apple Private Cloud Compute
Un chercheur en cybersécurité a reçu une récompense de 150 000 dollars pour avoir réussi à exploiter une faille dans le système Apple Private Cloud Compute. Grâce à cet accès, il a pu activer un service interne qui collectait les journaux d’activité du serveur, redirigeant les données vers sa propre machine au lieu de celle d’Apple. En quelques secondes, il a commencé à recevoir des informations techniques sur le fonctionnement du serveur.
En envoyant de réelles requêtes d’intelligence artificielle vers ce serveur compromis, le chercheur a découvert que les journaux fournissaient des détails significatifs sur chaque requête. Il a pu identifier quelle application avait initié la demande, le type de tâche requise, ainsi que le nombre de mots ou de fragments de texte (tokens) en entrée et en réponse. Ce dernier chiffre variait précisément selon la longueur du texte initial, permettant d’obtenir des informations sans avoir à lire le contenu des requêtes.
Le chercheur a également testé la capacité d’Apple à détecter la présence de fichiers malveillants via un mécanisme d’attestation, qui est censé garantir que seuls des logiciels approuvés sont exécutés sur le serveur. Cependant, lors de cette vérification, un serveur compromis et un serveur sain ont produit des résultats identiques, l’attestation ne vérifiant que les logiciels installés, et non les fichiers ajoutés en dehors de cette procédure.
Apple a depuis corrigé cette vulnérabilité, qualifiée de fuite d’informations avec un score de gravité de 6,5 sur 10, dans les nouvelles versions de son service Private Cloud Compute. Les tests ont été réalisés dans un environnement de recherche fourni par Apple, sans affecter les serveurs utilisés par les utilisateurs réels. Fin juillet, il avait été rapporté qu’Apple traite déjà une partie des requêtes Siri sur ces serveurs, une infrastructure qui devrait prendre davantage d’importance avec l’arrivée de Siri AI cet automne.
Source : Sentry Security
