Les chercheurs ont réussi à contourner les restrictions d’Apple, leur permettant d’exécuter des actions contrôlées par les attaquants sur le modèle de langage intégré à l’appareil de l’entreprise grâce à une attaque par injection rapide. Apple a depuis renforcé ses protections contre cette vulnérabilité.
Les détails de l’attaque ont été publiés dans deux articles de blog sur le blog RSAC et rapportés par AppleInsider. Les chercheurs ont utilisé deux techniques d’exploitation pour contourner les filtres d’entrée et de sortie conçus pour empêcher le traitement de contenus nuisibles par le modèle local d’Apple.
Les chercheurs ont noté qu’ils avaient une compréhension limitée des processus de filtrage d’Apple en raison du manque de divulgation de la société concernant son fonctionnement interne. Ils ont émis l’hypothèse qu’un filtre d’entrée évalue les invites des utilisateurs en cas de contenu dangereux ; s’il est détecté, l’appel API échoue. Si l’invite réussit, elle est envoyée au modèle, qui génère ensuite une réponse qui est à nouveau filtrée pour détecter le contenu dangereux.
Pour exploiter ces processus, les chercheurs ont développé une méthode qui enchaîne deux techniques pour manipuler le modèle intégré. Tout d’abord, ils ont exécuté une attaque Unicode, écrivant les chaînes nuisibles à l’envers, en utilisant le caractère RIGHT-TO-LEFT OVERRIDE pour les rendre correctement tout en les conservant à l’envers dans l’entrée brute, contournant ainsi les filtres.
Ils ont ensuite utilisé une deuxième méthode appelée Neural Exec, qui leur a permis de remplacer les instructions du modèle par des commandes alternatives. La combinaison de ces tactiques a permis aux chercheurs de contrôler le comportement du modèle, exécutant avec succès l’exploit dans 76 % des 100 invites aléatoires testées.
L’attaque a été révélée à Apple en octobre 2025. En réponse, Apple a mis en œuvre des protections contre cette vulnérabilité spécifique dans ses mises à jour logicielles, en déployant des mesures de sécurité renforcées dans iOS 26.4 et macOS 26.4.
