Відомі дослідники безпеки з команди Mysk, які протягом багатьох років знаходили та передавали критичні вразливості в екосистемі Apple, заявили про припинення участі в програмі Apple Security Bounty. Причина — систематичні проблеми з прозорістю процесу та відмова у виплаті за одну з критичних знайдених уразливостей.

Йдеться про серйозну помилку в macOS, яка дозволяла підміняти сторонні застосунки та отримувати доступ до їхніх даних без пароля адміністратора та без додаткових дозволів. Фактично це створювало сценарій прихованого перехоплення інформації користувача.

Дослідники повідомили Apple про проблему 17 жовтня 2025 року, після чого протягом місяців вели технічну комунікацію з компанією. Однак 28 травня 2026 року вони отримали відповідь, що виплату за виявлену вразливість буде відхилено, оскільки «хтось уже знаходив подібну проблему раніше».

У Mysk наголошують, що навіть після тривалих пояснень і технічних доказів з їхнього боку, ситуація залишилась незмінною. Для команди це стало точкою неповернення у співпраці з програмою винагород Apple.

«Головна проблема не в самій відмові у виплаті, а в тому, як працює весь процес взаємодії. Немає прозорості, немає передбачуваності, і часто неможливо зрозуміти, на якому етапі знаходиться твій звіт», — зазначають дослідники.

Вони також описують внутрішню комунікацію як вкрай непередбачувану: іноді відповіді надходять швидко, а іноді — повна тиша без будь-яких пояснень. Це, на їхню думку, знижує мотивацію незалежних фахівців повідомляти про критичні проблеми.

Що це означає для екосистеми Apple

Ситуація з Mysk підсвічує ширшу проблему індустрії кібербезпеки: залежність від ентузіастів та незалежних дослідників, які фактично виконують частину роботи великих корпорацій.

З одного боку, програми на кшталт Apple Security Bounty існують саме для стимулювання таких знахідок. З іншого — випадки непрозорих рішень щодо винагород створюють ризик втрати довіри з боку спільноти.

У професійному середовищі кібербезпеки все частіше звучить думка, що навіть технологічні гіганти можуть втрачати ефективність своїх bounty-програм, якщо процес прийняття рішень залишається закритим для авторів звітів.

У контексті цієї історії важливо не лише питання грошей, а й принципів взаємодії: дослідники очікують чітких правил гри, а не ситуативних рішень після багатомісячної роботи над складними багами.

У випадку Mysk мова йде не про дрібну помилку, а про вразливість, яка потенційно могла впливати на безпеку даних користувачів macOS.

Тиха криза довіри між розробниками та корпораціями

Подібні ситуації формують нову реальність: незалежні дослідники все частіше обирають публічність або обмежене розкриття інформації замість формального повідомлення компаніям.

У Mysk прямо заявили, що більше не будуть повідомляти Apple про вразливості, які можуть становити ризик для користувачів. Водночас дрібні технічні помилки без критичного впливу можуть публікуватися у відкритому доступі на платформі X.

Такий підхід фактично змінює баланс між приватною відповідальністю компаній та публічним тиском з боку дослідницької спільноти.

І хоча Apple офіційно не коментує рішення Mysk, ця історія вже стала черговим прикладом того, як навіть найрозвиненіші програми винагород можуть втрачати довіру через непрозорі рішення.