Google suspend son programme de primes aux bugs open source face à l’afflux de signalements issus de l’IA

Google a officiellement mis en pause son programme de récompenses pour les vulnérabilités dans ses logiciels open source (« Open Source Software Vulnerability Rewards Program ») à compter du 1er octobre, invoquant un afflux insoutenable de signalements de sécurité automatisés de faible qualité. Le géant des technologies a indiqué que les mainteneurs de projets avaient besoin de répit face au flux constant de fausses découvertes, précisant qu'un point officiel sur l'état de cette initiative ne serait publié qu'au premier trimestre 2027.

Le contenu automatisé de mauvaise qualité submerge les mainteneurs

La décision de geler cette initiative de récompenses open source découle d'une hausse marquée des signalements automatisés, dont l'écrasante majorité s'avère non valide selon Google. Les mainteneurs et les ingénieurs de tri chargés d'examiner les rapports de sécurité entrants ont fait face à une avalanche de déclarations de bugs médiocres. Bon nombre de ces envois souffraient d'erreurs d'analyse et d'hallucinations générées par l'IA, contraignant les spécialistes à consacrer un temps précieux à disséquer des évaluations de code crédibles en apparence, mais entièrement inexactes.

Cette interruption opérationnelle fait écho aux avertissements d'experts en cybersécurité, qui ont prévenu à plusieurs reprises que l'accessibilité des outils d'IA générative risquait de paralyser les flux de travail traditionnels de détection des failles. En facilitant le signalement automatisé et massif de vulnérabilités sans effort réel, ces technologies inondent les canaux open source et détournent l'expertise humaine essentielle de la résolution des véritables failles de sécurité.

Des canaux de récompense alternatifs restent actifs

Bien que ce programme spécifique axé sur l'open source soit temporairement fermé aux nouvelles contributions, Google a confirmé que ses autres programmes de récompenses pour le signalement de vulnérabilités restent pleinement opérationnels. Les chercheurs indépendants en sécurité sont invités à utiliser ces autres canaux établis pendant que l'entreprise étudie des solutions à long terme pour gérer le flux de signalements automatisés.

Cette suspension sur plusieurs années illustre le défi majeur auquel les organisations sont confrontées pour concilier la participation ouverte de la communauté et la réalité du bruit automatisé, soulignant la nécessité urgente de repenser les modèles de tri à l'ère de l'intelligence artificielle générative.

Illustration éditoriale générée par IA ; ce n’est pas une photographie documentaire.

Source: Google froze its open source bug bounty program due to a ‘significant rise’ in AI submissions