Google met son programme de bug bounty en pause, l'IA fait trop de bruit

Google vient de mettre en pause une partie de son programme de bug bounty, celui dédié aux failles trouvées dans ses logiciels open source. La raison ? Un déluge de faux rapports générés par l'IA qui pollue complètement le système.

Le principe du bug bounty, c'est simple : tu trouves une faille de sécurité, tu la signales à Google, et si c'est du sérieux, tu touches une prime. Sauf que depuis un moment, l'entreprise reçoit de plus en plus de rapports bidons, probablement pondus à la chaîne par des chatbots ou des outils d'IA mal utilisés, qui décrivent des vulnérabilités qui n'existent tout simplement pas.

Google parle d'une hausse « significative » de ces signalements invalides, au point que ça devient ingérable pour les équipes qui doivent trier le vrai du faux. Plutôt que de laisser le bazar continuer, la firme a préféré freiner temporairement cette partie du programme pour revoir sa manière de filtrer les candidatures.

C'est un peu la rançon du succès de l'IA générative : elle facilite la vie de vrais chercheurs en sécurité, mais elle permet aussi à n'importe qui de spammer des rapports creux dans l'espoir de décrocher une prime facile. Google n'a pas encore annoncé quand ni comment le programme reprendra normalement.