Google gèle son bug bounty open source, noyé sous les rapports IA

C'est un comble pour la sécurité : Google suspend son programme de primes aux bugs open source jusqu'en 2027, submergé par des rapports générés par IA, invalides ou hallucinés. L'alerte courait depuis 2025 — elle vient de faire sa première victime officielle.

Une pause actée le 1er octobre

Le programme OSS VRP (qui récompensait la découverte de failles dans les logiciels open source de Google) est en pause depuis le 1er octobre, avec une « mise à jour » promise au premier trimestre 2027. En attendant, les chercheurs sont redirigés vers les autres programmes de primes du groupe.

« Cette pause est due à une hausse significative de soumissions automatisées, dont l'écrasante majorité n'est pas valide. » — Google

Selon Tom's Hardware, ingénieurs Google et mainteneurs open source croulaient sous des rapports invalides ou contenant des hallucinations — des failles imaginaires décrites avec aplomb par des modèles.

Un mal annoncé dès 2025

TechCrunch rappelait l'an dernier les avertissements des experts : le « slop » IA épuise les programmes de bug bounty, dont le modèle repose sur un triage humain coûteux de chaque rapport. Quand le volume de faux positifs explose et que chacun exige vérification, l'économie du programme s'effondre — même si, paradoxalement, l'IA aide aussi à trouver de vraies failles par ailleurs.

• Gelé : primes OSS depuis le 1er octobre 2026.
• Retour espéré : premier trimestre 2027.
• Cause : rapports automatisés invalides en masse.