Google a suspendu une partie de son bug bounty open source. En cause ? Une vague de rapports automatisés qui comportent de nombreuses erreurs.
Depuis le 1er octobre 2026, l’OSS VRP n’accepte plus les nouvelles vulnérabilités liées aux produits. Google a ainsi mis une partie de son bug bounty sur pause après une forte hausse des rapports automatisés.
L’écrasante majorité de ces signalements serait invalide ou inutilisable. Les équipes doivent donc trier davantage de bruit avant de trouver une véritable faille. L’IA peut pourtant accélérer la chasse aux bugs. Elle révèle aussi une limite gênante. Repérer une anomalie ne suffit pas. Il faut encore prouver qu’elle constitue une vraie vulnérabilité.
Google avait déjà tiré la sonnette d’alarme sur son bug bounty
Le problème ne date pas d’octobre. Dès mars 2026, Google avait signalé une hausse massive des rapports générés par IA. Le groupe avait alors durci les règles de son Open Source Software Vulnerability Rewards Program. Une reproduction précise via OSS-Fuzz était parfois requise.
Pour les projets les moins critiques, Google avait aussi supprimé certaines récompenses. L’objectif était de réduire le bruit avant la phase de tri. Ces garde-fous n’ont pas suffi. Le 1er octobre, Google a donc suspendu les nouvelles soumissions de vulnérabilités produit.
Le bug bounty de Google reste toutefois actif ailleurs. Les rapports supply chain sont toujours acceptés. Les dossiers déjà soumis sont encore traités. Cette décision ne signifie pas que l’IA est devenue inutile pour la cybersécurité. Elle met surtout en lumière une limite encore difficile à contourner. L’IA trouve des pistes, mais pas toujours des failles.
Il serait facile de conclure que l’IA ne sert à rien en cybersécurité. Ce serait faux. Google le reconnaît lui-même. L’IA peut accélérer la découverte d’anomalies dans de vastes bases de code. Nous avons déjà vu ce potentiel avec Gemini. Un système de Google a découvert une faille Chrome cachée durant treize ans. Le problème arrive juste après. Un modèle peut repérer une action étrange sans comprendre son impact réel.
Google cite des rapports avec des hallucinations techniques. On y trouve parfois une méthode d’exploitation impossible à reproduire. On y trouve aussi un vrai défaut de code qui reste pourtant inaccessible dans des conditions normales. Voilà toute la différence entre une piste intéressante et une vulnérabilité exploitable. Pour un mainteneur, cette nuance coûte du temps.
Les limites des systèmes autonomes
Cet épisode rappelle une faiblesse déjà visible ailleurs. Les systèmes autonomes sont capables d’enchaîner des actions complexes, mais leur analyse reste fragile. Nous avons déjà documenté ces écarts dans plusieurs tests cyber menés avec des systèmes autonomes.
Le problème apparaît aussi dans des situations moins spectaculaires. Les faux positifs des systèmes IA sont une limite bien connue. Cela ne veut pas dire que la technologie régresse. Au contraire, elle progresse vite.
Mais la vitesse de recherche dépasse parfois la qualité du contrôle. Un système peut générer 100 pistes avant qu’un humain en valide une. Dans un bug bounty, ce déséquilibre change tout. Chaque rapport reçu doit être lu, compris, reproduit puis classé. L’automatisation réduit donc le coût de production du signal. Elle ne réduit pas encore autant le coût de sa vérification.
Mais sachez que ce gel du bug bounty ne signifie pas pour autant que Google ferme la porte à l’IA. Le gel reste ciblé. La firme de Mountain View ne ferme ni son programme complet, ni la recherche automatisée.
Le groupe prévoit une mise à jour au premier trimestre 2027. Cette date marque un point d’étape, pas une réouverture garantie. D’ici là, Google renvoie les chercheurs vers ses autres programmes. Le Patch Rewards Program reste aussi proposé.
Cette pause ressemble surtout à une remise à plat. Le modèle historique du bug bounty doit absorber un nouveau volume industriel. Un chercheur humain hésite avant d’envoyer un dossier faible. Un système autonome peut produire une hypothèse en quelques secondes. Avec cette différence d’échelle, il faut changer les règles. Sinon, le tri humain forme le principal point de blocage.
- Partager l'article :
