Le chercheur Drinor Selmanaj, fondateur de la société de cybersécurité Sentry, a touché une prime de 150 000 dollars pour une faille dans Private Cloud Compute, l'infrastructure cloud d'Apple Intelligence. En exploitant une erreur de vérification au démarrage d'un serveur, il a réussi à y écrire des fichiers avec les droits les plus élevés du système, puis à détourner vers sa propre machine les données liées aux requêtes IA traitées par le serveur.

apple private cloud compute

Private Cloud Compute doit traiter les requêtes IA les plus complexes tout en gardant le même niveau de confidentialité qu'un traitement effectué directement sur l'iPhone. Le chercheur a montré qu'une simple erreur de vérification, lors du démarrage d'un serveur, suffisait à briser cette promesse.

Comment une erreur de vérification a permis d'écrire n'importe où sur le serveur

Quand un serveur Private Cloud Compute démarre, un programme appelé darwin-init installe les logiciels nécessaires. Il agit avec les droits les plus élevés du système, ceux d'administrateur, appelés "root" sous Unix, avant même que les protections de sécurité habituelles ne soient actives.

Pour vérifier qu'un fichier téléchargé est bien un logiciel Apple valide, darwin-init regarde seulement ses tout premiers octets. Un format de fichier différent, comme une simple archive tar, passe entre les mailles de ce contrôle. Le programme l'installe alors sans vérifier l'endroit où chaque fichier de l'archive doit atterrir

C'est exactement la faille exploitée, une technique connue sous le nom de traversée de répertoire. En donnant à ses fichiers des noms contenant des instructions du type "remonte de plusieurs dossiers", le chercheur a réussi à les faire écrire en dehors du dossier prévu, jusque dans un emplacement qui survit au redémarrage du serveur. Une archive purement malveillante aurait fait échouer l'installation et bloqué le serveur au démarrage. Le chercheur a donc glissé ses fichiers piégés à côté d'un vrai logiciel Apple valide, dans la même archive, pour que l'installation se termine normalement malgré la faille.

Apple Intelligence

Des données confidentielles détournées, sans que les contrôles de sécurité d'Apple ne réagissent

Avec cet accès, le chercheur a activé un service interne chargé de collecter les journaux d'activité du serveur, en le pointant vers sa propre machine plutôt que vers celle d'Apple. En quelques secondes, il recevait déjà des informations techniques sur le fonctionnement du serveur.

En envoyant de vraies requêtes IA vers ce serveur piégé, il a constaté que ces journaux en disaient beaucoup sur chaque requête individuelle. Il a pu repérer quelle application l'avait envoyée, quel type de tâche elle demandait, et surtout combien de mots ou de fragments de texte (des tokens) elle contenait, en entrée comme en réponse. Ce dernier chiffre variait précisément selon la longueur du texte envoyé au départ. Sans jamais lire le contenu réel d'une requête, il devenait quand même possible d'en apprendre beaucoup rien qu'en observant ces chiffres de l'extérieur.

Le chercheur a aussi vérifié si Apple pouvait détecter la présence de ces fichiers piégés grâce à l'attestation, un mécanisme censé garantir qu'un serveur ne fait tourner que des logiciels approuvés. Mais lors de cette vérification, un serveur piégé et un serveur sain donnaient exactement le même résultat. L'attestation contrôle quels logiciels sont installés, pas les fichiers ajoutés en dehors de cette procédure.

Apple a corrigé la faille, classée comme une fuite d'informations avec un score de gravité de 6,5 sur 10, dans les dernières versions de Private Cloud Compute. L'ensemble des tests s'est déroulé dans l'environnement de recherche fourni par Apple, sans toucher aux serveurs utilisés par les vrais utilisateurs. Nous rapportions fin juillet qu'Apple traite déjà une partie des requêtes Siri sur ces mêmes serveurs, une infrastructure appelée à prendre encore plus d'importance avec l'arrivée de Siri AI cet automne (enfin, peut-être pas chez nous…).