Google suspend son programme de bug bounty open source après un afflux d’« AI slop »

Les programmes de bug bounty sont censés permettre de découvrir des vulnérabilités, pas d’ensevelir les mainteneurs sous des rapports inutiles. Google a suspendu les nouveaux signalements de vulnérabilités de produits dans le cadre de son programme de bug bounty open source après une vague de rapports automatisés, dont la plupart se sont révélés invalides, selon l’entreprise.

Depuis le 1er oct., Google n’accepte plus de nouveaux signalements de vulnérabilités de produits via son programme de récompenses pour les vulnérabilités des logiciels open source, ou OSS VRP. Les rapports concernant la chaîne logistique et les dossiers en cours restent ouverts, tandis que Google remanie cette partie du programme et prévoit une mise à jour au premier trimestre 2027. Pour les chercheurs en sécurité et les organisations qui dépendent des logiciels open source, cette suspension met en lumière le coût croissant de la recherche de vulnérabilités assistée par l’IA : la génération plus rapide de rapports peut transférer davantage de travail de validation aux mainteneurs.

Google affirme que la plupart des signalements automatisés étaient invalides

Google VRP a indiqué que la suspension faisait suite à une « hausse significative des signalements automatisés », ajoutant que l’immense majorité n’était pas valide. L’entreprise a encouragé les chercheurs à soumettre leurs découvertes pertinentes via ses autres programmes de récompenses pour les vulnérabilités, ou à utiliser plutôt le Patch Rewards Program.

Tom’s Hardware a rapporté que les ingénieurs de Google et les mainteneurs de logiciels open source avaient été submergés par des milliers de rapports mal rédigés qui prétendaient identifier des bugs, mais se révélaient invalides ou inexploitables. Certains rapports contenaient des découvertes hallucinées, obligeant les évaluateurs à consacrer du temps à la validation du code plutôt qu’à l’examen de vulnérabilités légitimes.

La chasse aux bugs par l’IA transforme le triage en goulet d’étranglement

Google a lancé l’OSS VRP en 2022 pour récompenser les chercheurs qui signalent en privé des failles dans ses logiciels open source, notamment dans des projets comme Go, Angular et Protocol Buffers. Help Net Security a relevé que les plaintes concernant des rapports de vulnérabilité de mauvaise qualité, assistés par l’IA se multipliaient déjà depuis plusieurs mois dans les projets open source et les programmes de bug bounty.

Les outils automatisés peuvent produire rapidement des rapports, mais les mainteneurs doivent toujours vérifier si chaque découverte est réelle et exploitable. Pour les entreprises qui gèrent leurs propres programmes de divulgation ou de bug bounty, la suspension de Google montre à quelle vitesse les rapports générés par l’IA peuvent créer du travail supplémentaire pour les équipes de sécurité. Les évaluateurs doivent toujours distinguer les vulnérabilités réelles des faux positifs avant que les ingénieurs puissent agir.

Tom’s Hardware a également cité des mainteneurs Linux qui disaient être « complètement submergés » par les rapports de vulnérabilité, alors que la chasse aux failles alimentée par l’IA a accru le volume des signalements. La publication a également évoqué la suspension du bug bounty d’Intel, mais Intel n’a pas confirmé que des rapports générés par l’IA avaient motivé sa décision.

Ce qu’a découvert eWeek

Règles de l’OSS VRP de Google Bug Hunters montrent que la suspension ne concerne qu’une partie du programme. D’autres options de signalement restent disponibles, notamment les rapports sur la chaîne logistique, les soumissions en cours et certaines vulnérabilités liées à Google Cloud via le Cloud VRP.

Les chercheurs doivent vérifier le périmètre des programmes restants de Google avant de soumettre une découverte. Pour les équipes de sécurité d’entreprise qui évaluent les outils de chasse aux bugs par l’IA, la leçon générale est de mesurer les découvertes reproductibles et l’effort nécessaire pour les valider, plutôt que le seul volume de rapports.

Google n’a pas indiqué quelles modifications il apporterait à cette partie du programme. L’entreprise prévoit de publier une mise à jour au premier trimestre 2027.

Envie d’obtenir de meilleurs résultats avec l’IA sans ajouter au bruit ? Essayez notre cours gratuit de six minutes Comment parler à l’IA pour apprendre des méthodes simples afin de rédiger des invites plus claires et d’obtenir des réponses plus utiles. Les lecteurs d’eWeek bénéficient également de sept jours d’accès gratuit aux autres cours d’IA de The Neuron Academy. Découvrez toutes les leçons ici →