Actu IA · Google · sécurité
Google suspend son bug bounty open source, noyé de rapports IA
Les signalements de failles produit au programme de récompenses open source de Google sont suspendus après un afflux de soumissions invalides générées par l’IA.
Google n’accepte plus, depuis le 1 octobre 2026, les signalements de vulnérabilités sur les produits de son Open Source Software Vulnerability Reward Program (OSS VRP), après des milliers de soumissions de piètre qualité générées par IA, a rapporté Tom’s Hardware le samedi 3 octobre. Nombre de ces rapports décrivaient des failles inexistantes ou impossibles à exploiter, et les mainteneurs ont perdu des heures à trier au lieu de corriger.
La suspension est partielle. Les rapports déposés avant le 1 octobre ne sont pas concernés, les signalements sur la chaîne d’approvisionnement logicielle restent acceptés, et le Cloud VRP de Google couvre certains dépôts Google Cloud. Google s’est engagé à donner des nouvelles d’ici le premier trimestre 2027, le temps de remanier cette partie du programme, d’après Tom’s Hardware.
Lancé en 2022, le programme versait entre 100 $ et 31 337 $ par rapport, note Hardware Busters, qui ajoute qu’un agent IA de Google a lui-même trouvé 20 vraies failles dans du code open source. Tom’s Hardware précise qu’Intel a suspendu une prime qui allait jusqu’à 100 000 $ par faille, et que les mainteneurs de Linux signalent un nombre record de CVE par version.
Pour les équipes qui achètent des outils de sécurité IA, la leçon tient au volume : l’IA permet de rédiger vite un rapport de vulnérabilité plausible, mais le mainteneur met longtemps à le réfuter.
Sources
- Tom's Hardware : Google freezes open-source bug bounty program amid flood of invalid AI slop submissions. Vérifié le
- Hardware Busters : Google Pauses Its Open-Source Bug Bounty for Product Flaws as AI Slop Buries Maintainers. Vérifié le
Alexandre S.
Alexandre S. est stratège créatif en publicité et copywriter, avec dix ans d’expérience en marketing digital sur plusieurs canaux.