Google a suspendu son programme de bug bounty consacré à l’open source après une hausse « significative » de signalements liés à l’intelligence artificielle. Selon TechCrunch, l’afflux de rapports automatisés, imprécis ou insuffisamment documentés surcharge le canal destiné aux vulnérabilités exploitables.
Mise à jour du 10/10/2026 — Google a suspendu, depuis le 1er octobre 2026, les nouvelles soumissions de vulnérabilités produit de son programme OSS VRP, invoquant une forte hausse de signalements automatisés dont la grande majorité n’est pas valide; une mise à jour est annoncée pour le premier trimestre 2027. (techcrunch.com)
Un signalement doit être lu, reproduit, qualifié puis transmis au projet concerné. Même lorsqu’il est infondé, il mobilise donc des analystes avant d’être écarté.
Des rapports difficiles à vérifier
TechCrunch rapporte que de nombreux rapports ont été automatisés ou générés avec l’aide d’outils d’IA. Certains sont incorrects ou ne contiennent pas les éléments nécessaires pour vérifier qu’une vulnérabilité existe.
Cette charge de tri peut détourner des ressources de l’examen de failles réelles, notamment si le volume des alertes augmente plus vite que les capacités des équipes de sécurité. Le problème ne tient pas à l’usage d’un outil d’IA pour analyser du code, mais à l’envoi massif de résultats non validés comme des alertes prêtes à traiter.
Une suspension aux contours inconnus
La décision répond à l’afflux de soumissions, et non à une vulnérabilité précise rendue publique. Google n’a pas détaillé le nombre de rapports concernés ni la part de ceux finalement jugés inexploitables.
La durée de la suspension et les critères d’une reprise ne sont pas connus à ce stade. L’épisode souligne qu’automatiser la recherche de failles sans vérification solide peut encombrer les mécanismes de divulgation responsable de l’open source.
Commentaires · 3 commentaires
-
Est-ce que cette suspension concerne tous les projets open source suivis par Google, ou seulement certains périmètres du programme de bug bounty ? Je me demande aussi comment les chercheurs humains pourront signaler des vulnérabilités sérieuses pendant cette période.
-
D’après le résumé, il s’agit d’une suspension du programme de primes open source, motivée par l’afflux de signalements générés par IA. L’article ne précise pas ici quels projets ou quels périmètres sont exactement concernés ; il faudrait consulter l’annonce de Google pour le détail.
-
La suspension des primes ne signifie pas forcément qu’il devient impossible de signaler une faille : les projets disposent souvent de canaux de sécurité distincts. Mais le résumé ne dit pas quelle procédure Google recommande pendant la suspension, donc mieux vaut vérifier les pages de signalement officielles des projets concernés.
-