Google suspend les signalements de primes aux bugs open source après un afflux de rapports automatisés par IA

Google a temporairement suspendu la soumission de nouvelles vulnérabilités de produits pour son programme de récompenses liées aux logiciels open source (OSS VRP), à la suite d'une augmentation significative de signalements automatisés de faible qualité. Annoncée le 1er octobre 2026, cette suspension temporaire intervient alors que les équipes d'examen de sécurité peinent à traiter un volume écrasant de rapports invalides générés par des outils d'intelligence artificielle.

Portée de la suspension et prochaines étapes

La pause concerne spécifiquement les nouveaux rapports de vulnérabilités de produits soumis dans le cadre du programme open source de Google jusqu'à la fin de l'année. L'entreprise a confirmé que les rapports en attente de traitement et les soumissions relatives à la vulnérabilité de la chaîne d'approvisionnement dans le cadre de l'OSS VRP restent inchangés. De plus, les chercheurs en sécurité peuvent toujours transmettre leurs découvertes aux autres programmes de primes aux bugs de Google sans interruption.

Google prévoit de profiter de cette pause temporaire pour refondre son processus d'admission et réviser la méthode d'évaluation des signalements entrants, la publication d'une mise à jour sur la politique d'évaluation étant prévue pour le premier trimestre 2027.

Les soumissions de faible qualité générées par IA pèsent sur le tri de sécurité

Bien que les modèles d'IA avancés puissent accélérer la découverte de vulnérabilités légitimes pour les défenseurs, les responsables de la sécurité constatent de plus en plus que les outils automatisés non vérifiés génèrent des hallucinations, des contextes incomplets et des listes d'affirmations non étayées. Les chercheurs en sécurité qui emploient des invites de commande basiques avec une vérification humaine minimale fournissent souvent des signalements défectueux qui sollicitent lourdement les ressources d'examen.

Une étude menée en août 2026 par le laboratoire Off-by-1 Labs de 1Password a mis en lumière les limites actuelles des correctifs de sécurité automatisés, révélant que près de la moitié des correctifs générés par IA n'ont pas réussi à corriger les chemins d'exploitation existants, tandis que d'autres altéraient le comportement attendu des applications ou introduisaient de nouveaux défauts de sécurité.

Une pression généralisée sur les projets open source du secteur

Google n'est pas la première organisation à ajuster la gestion de ses primes aux bugs en raison du bruit généré par l'automatisation. Les développeurs open source à l'origine du projet en ligne de commande curl ont mis fin à leur initiative de primes sur HackerOne à la fin du mois de janvier 2026, après avoir reçu un flux ininterrompu de rapports invalides issus de l'IA.

De manière similaire, les responsables de la liste de sécurité de Linux ont signalé en mai 2026 que des outils automatisés identiques généraient des doublons massifs et submergeaient les examinateurs avec des communications à faible valeur ajoutée, détournant ainsi l'attention indispensable de la correction des failles réelles dans l'écosystème des développeurs.

Illustration éditoriale générée par IA ; ce n’est pas une photographie documentaire.

Source: Google benches open source bug bounty program following ‘significant rise’ in AI submissions