macOS Tahoe 26.6 की सुरक्षा सामग्री के बारे में

मूल लेख ↗ Hacker News चर्चा ↗

Apple के macOS 26.6 और संबंधित अपडेट्स रिकॉर्ड संख्या में सुरक्षा सुधारों के साथ आते हैं, जिनमें से कई को Anthropic के Claude और अन्य LLM-आधारित प्रणालियों जैसे AI-सहायता प्राप्त टूल्स का श्रेय दिया गया है, जो दिखाता है कि स्वचालित विश्लेषण भेद्यता खोज को कितनी तेज़ी से बढ़ा रहा है। टिप्पणीकार Apple और OpenAI के बीच ट्रेड-सीक्रेट मुकदमों को लेकर बढ़ते तनावों का उल्लेख करते हैं, अनुमान लगाते हैं कि compliance और secrecy रणनीति के रूप में on-premises model hosting अधिक महत्वपूर्ण हो रही है, और तर्क देते हैं कि CVE में वृद्धि के कारण समय पर OS updates और भी ज़रूरी हो गए हैं—खासकर क्योंकि पुराने या vendor-उपेक्षित डिवाइस उपयोग के लिए अधिक जोखिमपूर्ण होते जा रहे हैं। सुरक्षा के साथ-साथ, उपयोगकर्ता macOS 26 के “Liquid Glass” UI, performance, और upgrade stability की शिकायत करते हैं, और अक्सर macOS 27 के वादे किए गए visual और usability सुधारों के आने तक पुराने releases पर बने रहना पसंद करते हैं।

Apple की AI साझेदारियाँ और OpenAI के साथ टकराव

  • कई CVE को “Claude और Anthropic Research के साथ सहयोग में” श्रेय दिया गया है, साथ ही अन्य LLM-आधारित टूल्स (जैसे XGPT, GLM) के उल्लेख भी हैं।
  • थ्रेड में अन्य बड़े लैब्स की अनुपस्थिति पर ध्यान दिया गया है, जिससे लगता है कि Apple Anthropic पर काफी हद तक निर्भर है।
  • कई टिप्पणियों में दावा किया गया है कि Apple अब Claude को आंतरिक रूप से Apple के इंफ्रास्ट्रक्चर पर चलाता है; अन्य लोग इसके लिए प्रमाण माँगते हैं और बताते हैं कि कोई सार्वजनिक स्रोत नहीं है, इसलिए यह अभी भी अप्रमाणित “सामान्य ज्ञान” बना हुआ है।
  • लिंक किया गया रिपोर्टिंग OpenAI के साथ कथित ट्रेड-सीक्रेट एक्सफिल्ट्रेशन को लेकर टूट का वर्णन करता है, जिसमें Apple के वरिष्ठ कर्मचारियों का OpenAI और संबंधित कंपनियों में जाना शामिल है।

AI-सहायता प्राप्त भेद्यता खोज

  • कुछ CVE स्वेच्छा से यह बताते हुए प्रकट किए गए कि वे AI एजेंट्स की मदद से पाए गए थे; कम-से-कम एक और के बारे में एक टिप्पणीकार कहता है कि वह AI से पाया गया था लेकिन उसे उस रूप में लेबल नहीं किया गया।
  • प्रतिभागी अनुमान लगाते हैं कि अब बहुत-सी और भेद्यताएँ LLMs की मदद से खोजी जा रही हैं।
  • Android सुरक्षा बुलेटिन्स का भी उल्लेख किया गया है, जिनमें बड़ी संख्या में उच्च/गंभीर सुधार हैं, और यह आंशिक रूप से LLM-त्वरित खोज को श्रेय दिया गया है।

macOS 26.6 के सुधारों का पैमाना और प्रकृति

  • कहा गया है कि macOS 26.6 में लगभग 155 CVE हैं, जो संभवतः एक रिकॉर्ड है।
  • कुछ लोगों को पिछले रिलीज़ की तुलना में LLM एट्रिब्यूशन्स “बहुत” अधिक लगती हैं, जबकि पहले कोई नहीं थे।
  • शिकायतें हैं कि Apple की एडवाइजरी अब पुराने संस्करणों की तुलना में बहुत धुंधली हो गई हैं; बचाव में कहा गया है कि गोपनीयता पैच डिफ़्स से एक्सप्लॉइट विकास को रोकने में मदद करती है।

अपडेट रणनीतियाँ और macOS 26/27 UX

  • कई लोग bugs और “liquid glass” UI (पारदर्शिता, बहुत बड़े rounded corners, menu icon spam) की नापसंदगी के कारण macOS 26 (“Tahoe”) में अपग्रेड टालते हैं।
  • कुछ लोग macOS 15 पर ही रहते हैं और केवल उसके security updates इंस्टॉल करते हैं; लेकिन “minor” updates भी tooling तोड़ देती हैं, ऐसा भी रिपोर्ट किया गया है।
  • macOS 27 betas को व्यापक रूप से दृश्य और UX की दृष्टि से बहुत बेहतर बताया गया है: glass कम किया गया है, corner radii अधिक सुसंगत हैं, toolbars बहाल की गई हैं, और performance बेहतर है।
  • Accessibility विकल्प (reduce transparency/motion, high contrast) Tahoe के visual effects को आंशिक रूप से उलटने के लिए उपयोग किए जाते हैं।
  • Intel Macs 26 पर ही अटके हुए हैं, जिसे कुछ लोग Apple द्वारा उन्हें एक “broken” release पर छोड़ना मानते हैं, और इससे users Linux की ओर धकेले जा रहे हैं।

मेमोरी सेफ्टी, भाषाएँ, और बग्स की लागत

  • चर्चा की एक पंक्ति “improved bounds checking / memory handling” फिक्स की विशाल संख्या को C/C++-शैली की unsafe भाषाओं की आर्थिक लागत से जोड़ती है।
  • अन्य लोग तर्क देते हैं कि भाषा चयन में सुरक्षा के साथ-साथ dev time, hiring pool, readability, और maintenance का संतुलन होना चाहिए।
  • कुछ लोग कहते हैं कि इससे Apple प्लेटफ़ॉर्म पर Rust/Swift का पक्ष बढ़ता जा रहा है; अन्य बताते हैं कि embedded/industrial/defense क्षेत्रों में C की मांग अभी भी बहुत अधिक है।
  • C/C++ मानक संस्थाओं की आलोचना की जाती है कि उन्होंने दशकों की घटनाओं के बावजूद सुरक्षा को ऐतिहासिक रूप से कम प्राथमिकता दी।
  • seL4 जैसे microkernels को आशाजनक बताया गया है, लेकिन नियामकीय दबाव के बिना और APIs तथा isolation से जुड़ी व्यावहारिक समस्याओं के कारण बड़े पैमाने पर अपनाना कठिन है।

Path Parsing और Sandbox संबंधी चिंताएँ

  • एक टिप्पणीकार सवाल करता है कि क्या user-facing software को सचमुच पूर्ण POSIX path semantics चाहिए, क्योंकि path parsing कमजोरियाँ अक्सर sandbox escapes की ओर ले जाती हैं।
  • सुझाया गया विचार: OS-व्यापी मानकीकृत “safe” path handling APIs, जिनमें फीचर सेट कम हो।
  • अन्य लोग जवाब देते हैं कि:
    • OS को permissions लागू करनी चाहिए; यदि isolation सही है तो path tricks फिर भी “permission denied” पर ही रुक जानी चाहिए।
    • एक ही parsing implementation को अनिवार्य करना और legacy data (जैसे पुराने archives जिनमें अब-अमान्य paths हैं) को migrate करना गैर-तथ्यात्मक नहीं होगा।
    • Apps हमेशा “typical users” के लिए “atypical users” द्वारा लिखी जाती हैं, इसलिए complexity को बस हटाया नहीं जा सकता।

CVE एट्रिब्यूशन टकराव और अजीबताएँ

  • कई CVE में बड़ी संख्या (≈20) में credited researchers सूचीबद्ध हैं, जो discovery में भारी collision दर्शाता है।
  • कुछ CVE उसी व्यक्ति को दो बार श्रेय देते हैं या हास्यास्पद लगते हैं (जैसे “an anonymous researcher” किसी नामित व्यक्ति के विवरण जैसा दिखना)।
  • AI systems और security vendors को अब human researchers के साथ सीधे श्रेय दिया जा रहा है, जो ध्यान आकर्षित करता है।

सुरक्षा परिदृश्य और पुराने डिवाइस

  • प्रतिभागी निष्कर्ष निकालते हैं कि vulnerability discovery में, AI सहित, नाटकीय तेजी आई है, जो defenders और attackers दोनों के लिए लाभकारी है।
  • इससे चिंता बढ़ती है कि “नए जैसे” लेकिन unsupported phones और machines (विशेषकर कुछ Android devices और पुराने Macs) यदि अपडेट न हों तो अब काफी अधिक जोखिमपूर्ण हो सकते हैं।
  • कई टिप्पणियाँ OS updates को समय पर लगाने के महत्व पर जोर देती हैं, जबकि यह भी स्वीकार करती हैं कि वास्तविक-world update नीतियाँ (विशेषकर कुछ Android vendors, और Apple का Intel cutoff) इस ज़रूरत के पीछे चल रही हैं।