Sobre o conteúdo de segurança do macOS Tahoe 26.6

Parcerias de IA da Apple e o desentendimento com a OpenAI

• Vários CVEs são creditados como “em colaboração com Claude e Anthropic Research”, além de menções a outras ferramentas baseadas em LLM (por exemplo, XGPT, GLM).
• O fio observa a ausência de outros grandes laboratórios, sugerindo que a Apple está se apoiando fortemente na Anthropic.
• Vários comentários afirmam que a Apple agora executa o Claude internamente na infraestrutura da Apple; outros pedem evidências e observam que não há fonte pública, então isso continua sendo um “conhecimento comum” não verificado.
• Reportagens vinculadas descrevem uma ruptura com a OpenAI por suposta exfiltração de segredos comerciais por meio da mudança de funcionários seniores da Apple para a OpenAI e empresas relacionadas.

Descoberta de vulnerabilidades assistida por IA

• Alguns CVEs foram divulgados voluntariamente como tendo sido encontrados com agentes de IA; ao menos mais um, segundo um comentarista, teria sido encontrado por IA, mas não rotulado como tal.
• Os participantes especulam que muito mais vulnerabilidades agora estão sendo encontradas com LLMs.
• Boletins de segurança do Android são citados como também tendo grandes números de correções altas/críticas, atribuídos em parte à descoberta acelerada por LLM.

Escala e natureza das correções do macOS 26.6

• Diz-se que o macOS 26.6 tem cerca de 155 CVEs, possivelmente um recorde.
• Alguns veem “muitas” atribuições a LLM em comparação com versões anteriores, em que não havia nenhuma.
• Há reclamações de que os avisos da Apple agora são muito vagos em comparação com os antigos; a defesa é que o sigilo ajuda a impedir o desenvolvimento de exploits a partir de diffs de patches.

Estratégias de atualização e UX do macOS 26/27

• Muitos adiam a atualização para o macOS 26 (“Tahoe”), citando bugs e aversão à interface “liquid glass” (transparência, cantos arredondados excessivamente grandes, excesso de ícones no menu).
• Alguns permanecem no macOS 15 e instalam apenas suas atualizações de segurança; mas até atualizações “menores” são relatadas como capazes de quebrar ferramentas.
• As betas do macOS 27 são amplamente descritas como visualmente e em termos de UX muito melhores: vidro mais discreto, raios de canto mais consistentes, barras de ferramentas restauradas, melhor desempenho.
• Opções de acessibilidade (reduzir transparência/movimento, alto contraste) são usadas para desfazer parcialmente os efeitos visuais do Tahoe.
• Macs Intel estão presos ao 26, o que alguns veem como a Apple deixando-os em uma versão “quebrada”, empurrando usuários para o Linux.

Segurança de memória, linguagens e custo dos bugs

• Uma linha de discussão liga o enorme número de correções de “melhoria na verificação de limites / no manuseio de memória” ao custo econômico de linguagens inseguras no estilo C/C++.
• Outros argumentam que a escolha da linguagem deve equilibrar segurança com tempo de desenvolvimento, base de contratação, legibilidade e manutenção.
• Alguns dizem que isso favorece cada vez mais Rust/Swift nas plataformas da Apple; outros observam que C continua em alta demanda nos setores embarcado/industrial/de defesa.
• Há críticas de que os órgãos de padronização de C/C++ historicamente deram pouca prioridade à segurança, apesar de décadas de incidentes.
• Microkernels como o seL4 são mencionados como promissores, mas difíceis de adotar em escala sem pressão regulatória e com questões práticas em torno de APIs e isolamento.

Análise de caminhos e preocupações com sandbox

• Um comentarista questiona se softwares voltados ao usuário realmente precisam de semântica completa de caminhos POSIX, dado o quão frequentemente vulnerabilidades de parsing de caminhos levam a escapes de sandbox.
• Ideia sugerida: APIs padronizadas em nível de sistema operacional para tratamento “seguro” de caminhos, com conjuntos de recursos reduzidos.
• Outros respondem que:
  • O sistema operacional deveria impor permissões; truques com caminhos ainda deveriam resultar em “permissão negada” se o isolamento estiver correto.
  • Exigir uma única implementação de parsing e migrar dados legados (por exemplo, arquivos antigos com caminhos agora inválidos) não seria trivial.
  • Aplicativos sempre serão escritos por usuários “atípicos” para usuários típicos, então a complexidade não pode simplesmente ser removida.

Colisões e peculiaridades na atribuição de CVEs

• Vários CVEs listam grandes números (≈20) de pesquisadores creditados, indicando forte colisão na descoberta.
• Alguns CVEs creditam a mesma pessoa duas vezes ou têm uma leitura engraçada (por exemplo, “um pesquisador anônimo” parecendo uma descrição de uma pessoa nomeada).
• Sistemas de IA e fornecedores de segurança agora são creditados diretamente ao lado de pesquisadores humanos, o que chama atenção.

Panorama de segurança e dispositivos antigos

• Os participantes inferem que a descoberta de vulnerabilidades acelerou drasticamente, inclusive via IA, beneficiando tanto defensores quanto atacantes.
• Isso levanta preocupação de que telefones e máquinas “mais ou menos recentes”, mas sem suporte (especialmente alguns dispositivos Android e Macs mais antigos), possam agora ser significativamente mais arriscados se não forem atualizados.
• Vários comentários enfatizam a importância de atualizações pontuais do sistema operacional, ao mesmo tempo em que reconhecem que as políticas reais de atualização (especialmente de alguns fornecedores Android, e o corte da Apple para Intel) ficam atrás dessa necessidade.