Google a mis en pause les soumissions de vulnérabilités produit dans son programme de récompense consacré aux logiciels open source, l’OSS VRP. La mesure est entrée en vigueur le 1er octobre 2026 après une forte augmentation des rapports automatisés, dont la grande majorité était jugée invalide.
L’entreprise prévoit de revoir le fonctionnement de cette partie du programme et promet une mise à jour au premier trimestre 2027. Les rapports envoyés avant le 1er octobre continuent d’être traités.
Un afflux de rapports générés avec l’IA
Les outils d’intelligence artificielle rendent l’analyse de code accessible et permettent de produire rapidement des hypothèses de vulnérabilité. Mais ils peuvent aussi générer des démonstrations incohérentes, inventer des chemins d’exploitation ou signaler des comportements qui ne représentent aucun risque réel.
Lorsqu’un grand nombre de rapports de faible qualité arrive simultanément, les mainteneurs doivent consacrer du temps à les reproduire et les réfuter. Cette charge ralentit le traitement des véritables failles et détourne des ressources déjà limitées.
Une suspension ciblée, pas la fin du programme
La pause concerne les vulnérabilités produit soumises à l’OSS VRP. Google encourage les chercheurs à utiliser ses autres programmes de récompense ou le Patch Rewards Program. Certains signalements peuvent également relever du Cloud VRP.
Comment utiliser l’IA correctement en recherche de vulnérabilités
- reproduire la faille dans une version précise et prise en charge ;
- fournir un scénario d’attaque réaliste et ses prérequis ;
- vérifier manuellement chaque affirmation produite par le modèle ;
- inclure des journaux, traces et preuves minimales reproductibles ;
- évaluer l’impact réel plutôt que la simple présence d’un motif suspect ;
- éviter les soumissions en masse non relues.
L’IA peut accélérer la compréhension d’un code complexe, proposer des cas de test et aider à construire une preuve de concept. Elle ne remplace toutefois ni la validation technique ni la responsabilité du chercheur qui soumet le rapport.
Un défi pour tous les projets open source
Les programmes de bug bounty devront probablement introduire des mécanismes de réputation, des exigences de preuve plus strictes et des filtres automatisés. Le risque serait toutefois de fermer la porte aux nouveaux chercheurs légitimes ou aux vulnérabilités complexes difficiles à démontrer.
La décision de Google illustre une tension nouvelle : l’automatisation augmente potentiellement la couverture de sécurité, mais elle peut aussi saturer les canaux de divulgation. La qualité du signal devient aussi importante que la quantité de code analysé.
