Apple ha desarrollado un Entorno Virtual de Investigación para brindar al público la oportunidad de probar la seguridad de su sistema de Computación en la Nube Privada (PCC). Además, ha puesto a disposición el código fuente de varios «componentes clave», permitiendo a los investigadores examinar las características de privacidad y seguridad del sistema.

En un esfuerzo por mejorar aún más la seguridad del sistema PCC, Apple también ha ampliado su programa de recompensas de seguridad, ofreciendo hasta $1 millón por la identificación de vulnerabilidades que puedan amenazar las protecciones centrales de seguridad y privacidad de la plataforma.

Interacción con el cliente de Computación en la Nube Privada desde el Entorno Virtual de Investigación

Computación en la Nube Privada (PCC): Avanzando en Privacidad y Seguridad en IA

PCC es el sistema que impulsa las tareas computacionales más exigentes de Apple Intelligence, ofreciendo una privacidad y seguridad de vanguardia. Al extender su reconocido modelo de seguridad de dispositivos a la nube, Apple establece un nuevo estándar en la computación en nube segura. En una publicación anterior sobre PCC, Apple destacó su compromiso con la transparencia, permitiendo que expertos en seguridad y privacidad verifiquen de forma independiente las protecciones de extremo a extremo que PCC proporciona. Tras el lanzamiento de Apple Intelligence y PCC, Apple ha otorgado acceso temprano a auditores externos y a algunos investigadores, equipándolos con herramientas como el Entorno Virtual de Investigación (VRE) de PCC para este fin.

Apple ahora abre estos recursos al público, invitando a todos los investigadores en seguridad y privacidad —y a cualquier persona con interés técnico— a explorar PCC y realizar su propia verificación independiente. Además, Apple anunció que el programa Apple Security Bounty ahora incluye recompensas por identificar vulnerabilidades en PCC, con premios significativos para informes relacionados con nuestras garantías de privacidad y seguridad.

Guía de Seguridad: Un análisis profundo de la arquitectura de PCC

Para ayudar a comprender cómo se diseña PCC para cumplir con los requisitos básicos de seguridad y privacidad, Apple publicó la Guía de Seguridad de Computación en la Nube Privada. Esta guía detallada explica cómo los distintos componentes de PCC trabajan en conjunto para ofrecer una privacidad sin precedentes en el procesamiento de IA en la nube. Entre los temas cubiertos están:

• Cómo la atestación de PCC se basa en seguridad por hardware.
• Cómo la autenticación y el enrutamiento previenen ataques dirigidos.
• Métodos para verificar el software que opera en los centros de datos de Apple.
• La resiliencia de PCC frente a diversos escenarios de amenaza.

Entorno Virtual de Investigación: Herramientas para el análisis independiente

Por primera vez, Apple ha creado un Entorno Virtual de Investigación (VRE) para una plataforma Apple. Este conjunto de herramientas permite realizar evaluaciones de seguridad de PCC directamente desde una Mac. Más allá de comprender sus características de seguridad, se puede confirmar de manera independiente que PCC preserva la privacidad del usuario según lo prometido.

El VRE funciona en una máquina virtual que refleja de cerca el entorno de software de un nodo de PCC e incluye:

• Un Procesador de Enclave Seguro (SEP) virtual, que permite realizar investigaciones de seguridad detalladas.
• Herramientas para inspeccionar las versiones de software de PCC y verificar los registros de transparencia.
• La capacidad de ejecutar y analizar el código de PCC en un entorno virtualizado.

El VRE está disponible en la vista previa para desarrolladores de macOS Sequoia 15.1 para Macs con silicio de Apple y al menos 16 GB de memoria unificada. Aprende más sobre cómo comenzar a usar el Entorno Virtual de Investigación dePCC.

Código Fuente para Componentes Clave de PCC

Apple también está liberando el código fuente de componentes críticos de PCC, permitiendo un análisis más profundo de sus características de seguridad y privacidad.

Los proyectos disponibles para revisión incluyen:

• CloudAttestation, que maneja las atestaciones de nodos de PCC.
• Thimble, que administra la aplicación de transparencia en los dispositivos de los usuarios.
• splunkloggingd, un demonio de registro diseñado para proteger contra la exposición accidental de datos.
• srd_tools, que potencia las herramientas del VRE, ayudando a los investigadores a explorar la funcionalidad de PCC.

Puedes encontrar el código fuente de estos componentes en el repositorio de GitHub de Apple.

Expansión del Apple Security Bounty: Recompensas por vulnerabilidades de PCC

Las nuevas categorías de recompensas de PCC en el programa de seguridad de Apple se alinean con las amenazas más críticas según lo descrito en la Guía de Seguridad:

• Ataque remoto a datos de solicitud: Hasta $1,000,000 por ejecución de código arbitrario con permisos arbitrarios.
• Acceso a datos de solicitud de usuario: Hasta $250,000 por acceso no autorizado fuera del límite de confianza de PCC.
• Ataque de red a datos de solicitud: Hasta $150,000 por acceso a información sensible a través de posiciones de red privilegiadas.
• Ejecución de código no autenticado: Hasta $100,000.
• Divulgación accidental de datos: Hasta $50,000 por exposición de datos debido a problemas de configuración o implementación.

Apple también considerará cualquier informe de un problema significativo que impacte a PCC para otorgar recompensas, incluso si no se alinea con una categoría específica. Las presentaciones se evalúan en función de la calidad del informe, la explotabilidad demostrada y el impacto en los usuarios. Visita la página de Apple Security Bounty para más detalles y para enviar tus hallazgos.

Conclusión

PCC representa un gran avance en privacidad para la IA, con transparencia verificable que lo diferencia de otros sistemas de IA en la nube. Al compartir documentación detallada, el Entorno Virtual de Investigación y el código fuente, Apple busca facilitar el estudio y verificación de las protecciones de PCC por parte de la comunidad de seguridad. Esto incluye proporcionar transparencia verificable —una propiedad única que lo distingue de otros enfoques de IA basados en servidores. Basándose en su experiencia con el Programa de Dispositivos de Investigación de Seguridad de Apple, las herramientas y documentación que Apple ha lanzado facilitan más que nunca no solo estudiar, sino también verificar las características críticas de seguridad y privacidad de PCC.