Google met en pause son bug bounty open source à cause de l'IA

Depuis le 1er octobre 2026, Google a mis sur pause le volet "vulnérabilités produit" de son programme OSS VRP, celui qui récompense la découverte de failles dans ses projets open source. La raison, expliquée par le compte @GoogleVRP : une avalanche de signalements automatisés, dont la quasi-totalité sont bidons. Pas de date de retour annoncée, Google promet juste un point d'étape au premier trimestre 2027. Bonne nouvelle pour les chercheurs sérieux : les rapports sur la chaîne d'approvisionnement logicielle restent acceptés, et certains projets Google Cloud passent par le Cloud VRP.

Google n'est pas un cas isolé. L'outil curl avait déjà vécu un épisode similaire : son créateur Daniel Stenberg racontait en janvier 2026 que le taux de rapports valides était tombé sous 5%, noyé sous ce qu'il appelle "la bouillie d'IA". curl avait alors coupé les primes avant de revenir sur HackerOne en mars, avec un filtrage plus strict qui a fait remonter le taux de validité à 15-16%. L'Internet Bug Bounty, qui finançait justement les primes de curl, a lui aussi gelé les nouvelles soumissions fin mars.

Le vrai souci, c'est que l'IA permet à n'importe qui de générer des rapports de vulnérabilité en masse, sans forcément vérifier qu'elles sont réelles. Résultat : les équipes de sécurité passent plus de temps à trier le bruit qu'à corriger de vraies failles. Et le timing n'est pas neutre, puisque depuis le 11 septembre 2026, le Cyber Resilience Act européen impose aux éditeurs de signaler toute faille activement exploitée sous 24 heures — encore faut-il réussir à la repérer dans ce flot de faux positifs.