Komplexere Aufgaben erledigt Apples KI
Apple Intelligence nicht wie einfachere Tasks direkt auf den Endgeräten, sondern in einer Private-Cloud-basierten KI-Infrastruktur namens Private Cloud Compute (PCC). Im Rahmen des Bug-Bounty-Programms von Apple hat ein Sicherheitsforscher einen erfolgreichen Angriff durchgeführt, bei dem er bestimmte Telemetriedaten abgreifen konnte. Möglich wurde dies über die Schwachstelle CVE-2026-20685, die seit dem 18. Mai 2026 bekannt ist und in einem neueren PCC-Release (5E290.3) behoben wurde. Es handelt sich um eine Path-Traversal-Lücke in der darwin-init-Routine, die es einem Angreifer mit privilegierter Position im Netzwerk – also einem Teilnehmer im gleichen Netzwerk – ermöglicht, gewisse Daten abzugreifen. Prompts, Antworten sowie Tokens (IDs oder Strings) sind davon jedoch nicht betroffen.
Das Problem aufgespürt und an Apple gemeldet hat Drinor Selmanaj, Mitgründer des Sicherheitsspezialisten Sentry. Für die Aufdeckung der Schwachstelle hat er von Apple eine Prämie von 150‘000 US-Dollar erhalten, wie er vor einigen Tagen
auf Linkedin verkündet hat. Das Programm umfasst fünf Prämienstufen mit Auszahlungen zwischen 50'000 und 1 Million Dollar. Die mittlere Prämie von 150'000 Dollar gilt für die Entdeckung von Datenabflussproblemen. Mehr Geld gibt es für die Aufdeckung von umfassenderen Datenlecks sowie von Schwachstellen, über die sich beliebiger Code ausführen lässt.
(ubi)
