Apple Membaiki 22 Isu Keselamatan Safari dengan 9 Dikreditkan kepada Codex Security

Apple mengkreditkan OpenAI Codex Security pada sembilan daripada dua puluh dua kerentanan WebKit yang dibetulkan dalam Safari 26.6.1, sekali gus menyediakan contoh konkrit penyelidikan kerentanan berasaskan bantuan AI yang menyumbang kepada keluaran keselamatan sistem pengendalian. Apabila ekosistem perisian semakin rumit, enjin pemaparan pelayar membentangkan permukaan serangan besar yang mencabar ujian keselamatan konvensional. Dari segi sejarah, penemuan kerentanan bergantung pada kluster pemfuzan khusus, audit kod manual, dan laporan pemburuan pepijat luaran. Dengan menggabungkan pemodelan ancaman khusus pangkalan kod dengan pengesahan eksploitasi automatik dalam persekitaran terpencil, ejen keselamatan AI mempertingkatkan saluran pendedahan kerentanan merentas infrastruktur pelayar berdedahan tinggi.

Apa yang Apple Baiki dalam Safari 26.6.1: Menghuraikan 22 CVE WebKit

Sekilas Pandang

• Apple mengeluarkan Safari 26.6.1 pada 18 Ogos 2026, yang menangani dua puluh dua kerentanan WebKit merentas macOS Sonoma dan macOS Sequoia.
• OpenAI Codex Security (penyelidik Amy Burnett) dikreditkan pada sembilan entri CVE, mewakili kira-kira empat puluh satu peratus daripada senarai nasihat yang diberikan.
• Kemas kini ini menangani beberapa kelas isu WebKit, termasuk akses luar batas, keadaan guna-selepas-bebas, kerosakan memori, and kebocoran data sensitif.

Vendor pelayar telah lama menggabungkan penyelidikan keselamatan dalaman, laporan luaran, and pemfuzan untuk mengenal pasti kerentanan. Walaupun berkesan, semakan kod manual bergelut untuk mengekalkan kadar kepantasan pangkalan kod moden yang kompleks mengandungi jutaan baris C++ dan kod perhimpunan.

Untuk menangani kerentanan ini merentas ekosistem pelayarnya, Apple menerbitkan kandungan keselamatan Safari 26.6.1 bersama-sama kemas kini sistem pengendalian untuk macOS Sonoma dan macOS Sequoia, seperti yang diperincikan pada halaman keluaran keselamatan rasmi Apple. Kemas kini ini menyampaikan pembetulan untuk dua puluh dua Kerentanan dan Pendedahan Biasa (CVE) yang menjejaskan WebKit, enjin pemaparan sumber terbuka yang menguasakan Safari.

Keluaran Safari 26.6.1 menggambarkan cara penyelidikan kerentanan yang dibantu AI memasuki aliran kerja keselamatan perisian yang mantap. Sembilan daripada dua puluh dua CVE—kira-kira empat puluh satu peratus daripada kerentanan yang disenaraikan dalam kemas kini tersebut—dikreditkan kepada penyelidik Amy Burnett menggunakan OpenAI Codex Security. Sumbangan keselamatan lain datang daripada kumpulan penyelidikan bebas, termasuk Cisco Talos, Citadelo, Out of Bounds, Inisiatif Zero Day TrendAI, Calif.io, dan Pasukan Keselamatan Braze, seperti yang dilaporkan dalam analisis teknikal 9to5Mac.

Mekanik Di Sebalik Tabir: Cara Codex Security Menyumbang kepada Penyelidikan Kerentanan Safari 26.6.1

Pada tahap hias bentuk seni bina, enjin pelayar terdedah terutamanya kerana ia sentiasa menghuraikan kandungan web yang tidak dipercayai semasa berinteraksi dengan memori yang kompleks dan sempadan kotak pasir. WebKit bertanggungjawab untuk menghuraikan HTML yang tidak dipercayai, melaksanakan JavaScript yang kompleks, mengurus peruntukan memori, dan mengasingkan sumber rentas asal dalam kotak pasir sistem pengendalian.

Kerentanan yang diselesaikan dalam Safari 26.6.1 jatuh ke dalam beberapa kelas isu WebKit yang berasingan. Contohnya merangkumi:

• Akses Memori Luar Batas (CVE-2026-64784): Isu akses luar batas telah ditangani dengan semakan batas yang dipertingkatkan, menurut nota keselamatan Apple.
• Kerentanan Guna-Selepas-Bebas (CVE-2026-64715, CVE-2026-64787): Isu guna-selepas-bebas telah ditangani melalui pengurusan memori yang lebih baik.
• Kerosakan Memori melalui Penguncian dan Pengesahan Input (CVE-2026-64782, CVE-2026-64781): Kerentanan kerosakan memori ditangani dengan penguncian yang dipertingkatkan, dan isu yang menyebabkan keruntuhan Safari yang tidak dijangka telah ditangani dengan pengesahan input yang lebih baik.
• Kebocoran Data Sensitif Sejarah WebKit (CVE-2026-64778): Isu Sejarah WebKit di mana melawati tapak web yang direka bentuk secara hasad boleh membocorkan data sensitif telah ditangani dengan semakan yang dipertingkatkan.

Keluaran keselamatan Apple mengkreditkan OpenAI Codex Security pada sembilan daripada dua puluh dua entri CVE WebKit. Walaupun Apple tidak mendedahkan naratif penemuan yang berasingan untuk setiap penemuan individu, kredit tersebut memberikan contoh konkrit Codex Security yang mengambil bahagian dalam penyelidikan kerentanan dunia sebenar.

Menurut dokumentasi rasmi untuk OpenAI Codex Security, sistem ini membina model ancaman khusus projek berdasarkan seni bina repositori sasaran dan sejarah repositori. Ia menggunakan penaakulan model bahasa untuk meneroka laluan pelaksanaan yang realistik, mengesahkan potensi isu dalam persekitaran ujian terpencil, dan mengetengahkan cadangan tambalan untuk semakan manusia.

Rajah di bawah menggariskan perbezaan struktur antara kaedah pengimbasan tradisional dan penemuan kerentanan yang sedar konteks:

[Saluran Paip SAST]
Kod Sumber
  └──> Peraturan Statik / Analisis Aliran Data
        └──> Penemuan Dilaporkan
              └──> Triage Penganalisis

[Saluran Paip Pemfuzan]
Binari Sasaran / Harness
  └──> Generasi & Mutasi Input
        └──> Pelaksanaan & Liputan
              └──> Triage Kerosakan

[Aliran Kerja Codex Security]
Konteks Repositori
  └──> Model Ancaman & Laluan Serangan
        └──> Pengesahan Terpencil
              └──> Cadangan Tambalan & Semakan Manusia

Pendekatan ini bertujuan untuk menyiasat kerentanan yang mungkin sukar dinilai daripada peraturan statik terpencil sahaja, terutamanya apabila sifat keselamatan bergantung pada konteks sistem yang lebih luas and tingkah laku program yang kompleks.

Bagaimanakah Penyelidikan Kerentanan Dibantu AI Berbeza daripada Pengimbasan Tradisional

Apabila penemuan kerentanan automatik memasuki aliran kerja keselamatan yang mantap, arkitek keselamatan mesti memahami cara alat ini beroperasi merentas kitaran hayat ujian perisian. Pendekatan ini berbeza dalam cara mereka menemui dan mengesahkan kerentanan.

Penilaian Metodologi: Analisis Statik, Pemfuzan, and Ejen AI

Ejen keselamatan AI melengkapkan dan bukannya menggantikan kaedah penyelidikan kerentanan sedia ada. Walaupun alat SAST menganalisis kod sumber menggunakan peraturan statik, aliran data, dan teknik analisis program, pemfuz menggunakan tingkah laku masa jalan menggunakan input yang dijana atau dimutasi untuk mendedahkan kerosakan. Ejen yang sedar konteks menganalisis niat semantik and logik pelaksanaan merentas modul yang saling bersambung.

Jadual di bawah membandingkan metodologi standard untuk mengenal pasti kerentanan dalam perisian kompleks:

Dengan menggabungkan penerokaan laluan serangan automatik dengan pengesahan terpencil, ejen keselamatan membolehkan penyelidik mengesahkan sama ada anomali kod teori mewakili kelemahan tulen sebelum menyerahkan cadangan pemulihan kepada peny penyelenggara huluan.

Senarai Semak Kejuruteraan: Perkara yang Perlu Disahkan oleh Pasukan Keselamatan Sebelum Menerima Pakai Ejen Keselamatan AI

Untuk menyepadukan penemuan kerentanan yang dibantu AI ke dalam aliran kerja kejuruteraan perusahaan dengan bertanggungjawab, pemimpin keselamatan boleh menetapkan garis panduan operasi berstruktur.

Senarai Semak Implementation untuk Pasukan Keselamatan

• Menubuhkan Pengesahan Kotak Pasir Terpencil: Pastikan semua ejen keselamatan AI melaksanakan aliran kerja pengesahan dalam persekitaran yang dipartisi secara ketat untuk mengelakkan pelaksanaan yang tidak diingini.
• Kuat Kuasa Semakan Libat Urus Manusia: Kehendaki jurutera keselamatan berpengalaman untuk menilai dan mengesahkan semua penemuan kerentanan yang dijana AI dan cadangan tambalan sebelum pelancaran.
• Skop Repositori dan Akses Kredential: Konfigurasikan kebenaran akses keistimewaan paling rendah untuk ejen automatik, memastikan mereka hanya memeriksa kod sumber sasaran tanpa akses kepada kredential pengeluaran.

Senarai Semak Tadbir Urus & Pengawasan Operasi

• Penanda Aras Nisbah Isyarat kepada Bunyi: Ukur kadar positif palsu bagi amaran keselamatan yang dijana AI berbanding saluran paip SAST sedia ada dan analisis dinamik untuk memastikan kecekapan kejuruteraan.
• Kekalkan Pendedahan CVE Telus: Patuhi piawaian pendedahan kerentanan terkoordinasi, menyediakan penyelenggara perisian huluan dengan langkah pembiakan yang jelas dan cadangan pemulihan yang disahkan.
• Laksanakan Tambalan Keselamatan Sistem Pengendalian Segera: Pastikan titik akhir perusahaan menerima kemas kini pelayar seperti Safari 26.6.1 untuk memulihkan kecacatan pengendalian memori dan keadaan WebKit yang mendedahkan masalah.

Keluaran Safari 26.6.1 menyediakan contoh konkrit penyelidikan kerentanan berasaskan bantuan AI yang menyumbang kepada keluaran keselamatan pelayar dunia sebenar. Daripada menggantikan penyelidik manusia, ejen AI boleh melanjutkan skop analisis kerentanan automatik sambil mengekalkan pengesahan dan pemulihan di bawah semakan manusia.

Bagi pasukan keselamatan, pengajaran praktikalnya adalah untuk menggabungkan konteks repositori, pengesahan kerentanan, dan semakan manusia daripada bergantung pada satu kaedah pengesanan sahaja. Dengan melaksanakan ujian kotak pasir yang ketat dan pendedahan terkoordinasi, organisasi boleh mengenal pasti dan memulihkan kerentanan yang kompleks sebelum perisian mencapai persekitaran pengeluaran.