Google suspend son programme de primes aux bugs open source face à un afflux de soumissions par IA

Google a officiellement mis en pause son programme de primes aux vulnérabilités des logiciels open source suite à une vague massive de soumissions automatisées générées par l'intelligence artificielle. Le géant de la technologie a confirmé que ce gel est entré en vigueur le 1er octobre 2026, suspendant temporairement les paiements aux chercheurs signalant des failles de sécurité dans les projets open source de l'entreprise, le temps que les équipes internes restructurent leurs protocoles d'examen.

Les responsables de l'entreprise ont cité une augmentation drastique des soumissions de mauvaise qualité comme raison principale de l'arrêt de l'initiative. « Cette pause est due à une augmentation significative des soumissions automatisées, dont la grande majorité ne sont pas valides », a déclaré Google sur ses réseaux sociaux et sa plateforme officielle. Les ingénieurs et les mainteneurs open source ont fait face à d'importants retards causés par des rapports de faible qualité remplis d'hallucinations d'IA et de fausses vulnérabilités.

Cette suspension concrétise les avertissements émis dans l'industrie de la cybersécurité concernant la prolifération de la « bouillie d'IA ». Des experts en sécurité indépendants ont averti que les grands modèles de langage incitent les acteurs malveillants et les chercheurs inexpérimentés à inonder les plateformes de failles fabriquées ou spéculatives pour obtenir des gains financiers faciles.

Google a indiqué qu'il maintiendrait le programme gelé jusqu'à la fin de l'année et prévoit de fournir une mise à jour officielle concernant les changements potentiels au premier trimestre 2027. Entre-temps, l'entreprise a conseillé aux hackers éthiques et aux chercheurs en sécurité de rediriger leurs efforts vers les autres programmes de primes aux vulnérabilités de Google.