KALIMANTAN BARAT — Program bug bounty Apple memasuki babak baru. Pekan ini, perusahaan yang berbasis di Cupertino itu mengonfirmasi adanya pembatasan jumlah laporan kerentanan yang bisa dibuka seorang peneliti secara bersamaan. Setelah batas tercapai, peneliti wajib menunggu 30 hari sebelum bisa mengirim laporan baru.
Kebijakan ini diumumkan di tengah meningkatnya volume laporan keamanan yang dibuat dengan bantuan AI. Dalam pernyataannya kepada Financial Times, Apple menyebut "meningkatnya volume kiriman keamanan yang dihasilkan AI di seluruh industri" sebagai alasan utama.
Keputusan ini bukan langkah mendadak. Jika ditelusuri, sejak Oktober 2025 Apple sudah mulai menyiapkan diri. Saat itu, mereka mengumumkan "evolusi besar" program Apple Security Bounty dengan hadiah utama baru senilai US$ 2 juta (sekitar Rp 33 miliar), yang bisa naik melewati US$ 5 juta (sekitar Rp 82,5 miliar) dengan bonus tambahan.
Di balik pengumuman itu, terselip sistem baru bernama Target Flags. Sistem ini memungkinkan laporan yang dilengkapi Target Flags diproses secara terprogram, tanpa perlu ditinjau manusia. Konsekuensinya, peneliti bisa menerima pembayaran lebih cepat, bahkan sebelum patch dirilis.
Dua bulan berselang, pada Desember 2025, perubahan yang sempat membingungkan banyak pihak terjadi. Nilai imbalan untuk sejumlah kategori bug populer dipangkas drastis. Csaba Fitzl, peneliti keamanan utama macOS di Iru, mencatat imbalan untuk TCC bypass penuh turun dari US$ 30.500 (sekitar Rp 503 juta) menjadi hanya US$ 5.000 (sekitar Rp 82,5 juta). Kategori TCC individual yang sebelumnya bernilai US$ 5.000 hingga US$ 10.000, kini hanya US$ 1.000 (sekitar Rp 16,5 juta).
Sementara itu, imbalan untuk macOS sandbox escape dipangkas setengahnya menjadi US$ 5.000. Saat itu, Fitzl memperingatkan bahwa imbalan yang mengecil akan mengurangi minat peneliti terhadap Mac, dan berpotensi mendorong mereka menjual temuan di pasar gelap.
Rangkaian perubahan ini kini terlihat sebagai strategi yang terkoordinasi. TCC bypass dan sandbox escape adalah jenis bug yang justru paling mudah ditemukan oleh perangkat AI seperti Claude dan Codex. Bug-bug ini cukup dangkal untuk ditemukan dalam skala besar, tetapi setiap laporan tetap membutuhkan verifikasi manual oleh tim Apple. Akibatnya, antrean triase membengkak.
Dengan menurunkan imbalan untuk kategori tersebut dan menaikkan hadiah untuk exploit chain yang rumit, Apple secara efektif memprioritaskan temuan yang membutuhkan keahlian manusia murni. Langkah ini juga terlihat pada pembaruan macOS Tahoe 26.6 dan iOS 26.6 bulan lalu, di mana banyak kredit perbaikan diberikan kepada Claude, Codex, dan alat AI lain.
"AI-assisted atau tidak, kredit tetap diberikan," tulis Arin Waichulis dari 9to5Mac. "Ini menguntungkan semua orang."
Bagi peneliti yang mengandalkan alat AI untuk menemukan bug, kebijakan ini berarti mereka harus lebih selektif dalam mengirim laporan. Batas kuota dan masa pendinginan memaksa mereka untuk memprioritaskan temuan yang paling berdampak, alih-alih mengirim semua bug yang ditemukan mesin.
Apple sendiri belum merinci berapa jumlah laporan maksimal yang bisa dibuka seorang peneliti. Namun, keputusan ini diprediksi akan terus berkembang seiring dengan "sakit tumbuh" program bug bounty menghadapi era AI. Perubahan kebijakan ini juga menjadi sinyal bagi peneliti keamanan di Indonesia yang berpartisipasi dalam program global Apple, bahwa strategi mereka dalam melaporkan temuan perlu disesuaikan.