Il ricercatore Drinor Selmanaj, fondatore della società di cybersicurezza Sentry, ha incassato un premio di 150.000 dollari per una falla in Private Cloud Compute, l’infrastruttura cloud di Apple Intelligence. Sfruttando un errore di verifica all’avvio di un server, è riuscito a scrivere file con i privilegi più elevati del sistema, per poi dirottare verso la propria macchina i dati legati alle richieste AI elaborate dal server.
Private Cloud Compute violato: la falla che metteva a rischio la privacy di Apple Intelligence
Private Cloud Compute deve elaborare le richieste AI più complesse mantenendo lo stesso livello di riservatezza di un’elaborazione effettuata direttamente sull’iPhone. Il ricercatore ha dimostrato che un semplice errore di verifica, durante l’avvio di un server, bastava a infrangere questa promessa.
Quando un server Private Cloud Compute si avvia, un programma chiamato darwin-init installa il software necessario. Opera con i privilegi più elevati del sistema, quelli di amministratore, chiamati “root” nei sistemi Unix, ancora prima che le consuete protezioni di sicurezza siano attive.
Per verificare che un file scaricato sia effettivamente un software Apple valido, darwin-init controlla soltanto i suoi primissimi byte. Un formato di file diverso, come un semplice archivio tar, sfugge a questo controllo. Il programma lo installa quindi senza verificare la destinazione di ciascun file contenuto nell’archivio.
È esattamente la falla sfruttata, una tecnica nota come directory traversal. Assegnando ai propri file nomi contenenti istruzioni del tipo “risali di più cartelle”, il ricercatore è riuscito a farli scrivere al di fuori della directory prevista, fino a una posizione che sopravvive al riavvio del server. Un archivio puramente malevolo avrebbe fatto fallire l’installazione bloccando il server all’avvio. Il ricercatore ha quindi inserito i propri file trappola accanto a un vero software Apple valido, nello stesso archivio, affinché l’installazione si concludesse normalmente nonostante la falla.
Dati riservati dirottati, senza che i controlli di sicurezza di Apple reagissero
Con questo accesso, il ricercatore ha attivato un servizio interno incaricato di raccogliere i log di attività del server, puntandolo verso la propria macchina anziché verso quella di Apple. Nel giro di pochi secondi riceveva già informazioni tecniche sul funzionamento del server.
Inviando vere richieste AI verso questo server compromesso, ha constatato che i log rivelavano molto su ogni singola richiesta. È stato in grado di individuare quale applicazione l’avesse inviata, che tipo di operazione richiedesse e soprattutto quante parole o frammenti di testo (token) contenesse, sia in ingresso sia in risposta. Quest’ultimo dato variava con precisione in base alla lunghezza del testo inviato in origine. Senza mai leggere il contenuto reale di una richiesta, diventava comunque possibile apprendere molto semplicemente osservando queste cifre dall’esterno.
Il ricercatore ha anche verificato se Apple fosse in grado di rilevare la presenza di questi file trappola grazie all’attestazione, un meccanismo pensato per garantire che un server esegua esclusivamente software approvato. Ma durante questa verifica, un server compromesso e uno integro restituivano esattamente lo stesso risultato. L’attestazione controlla quali software sono installati, non i file aggiunti al di fuori di quella procedura.
Apple corregge la falla
Apple ha corretto la falla, classificata come fuga di informazioni con un punteggio di gravità di 6,5 su 10, nelle ultime versioni di Private Cloud Compute. L’insieme dei test si è svolto nell’ambiente di ricerca fornito da Apple, senza toccare i server utilizzati dagli utenti reali.
Apple elabora già una parte delle richieste Siri su questi stessi server, un’infrastruttura destinata ad assumere ancora più importanza con l’arrivo di Siri AI questo autunno (anche se, da noi, forse non proprio…).
Ti potrebbe interessare
11 ago 2026