Google halts open-source bug bounty program amid AI spam surge
Mis à jour :
Suspension du programme de primes aux bogues (OSS VRP) de Google face au spam par IA
Google a temporairement suspendu les soumissions de vulnérabilités pour son programme “Open Source Software Vulnerability Rewards Program” (OSS VRP) en raison d’un afflux massif de rapports non valides générés par intelligence artificielle. Cette décision reflète une tendance croissante dans l’industrie, où les mainteneurs de logiciels sont submergés par le “bruit” généré par les outils automatisés.
Points clés :
- Suspension ciblée : Seules les soumissions de vulnérabilités produits pour l’OSS VRP sont interrompues. Les signalements liés à la chaîne d’approvisionnement (supply chain) et les rapports déjà en cours de traitement ne sont pas affectés.
- Tendance sectorielle : Google suit l’exemple du projet curl, qui a mis fin à son programme de primes plus tôt cette année pour la même raison, et rejoint des entreprises comme Intel, qui a supprimé les récompenses financières pour ses programmes de signalement.
- Disponibilité des alternatives : Les chercheurs peuvent toujours soumettre des correctifs via le Google Patch Rewards Program ou signaler des vulnérabilités affectant les produits Google Cloud via le Cloud VRP.
- Perspectives : Google travaille à la restructuration de son programme et prévoit de fournir une mise à jour sur les changements apportés au cours du premier trimestre 2027.
Vulnérabilités :
- Aucune CVE spécifique n’est mentionnée dans cet article ; le problème porte sur la gestion qualitative des soumissions et non sur une faille de sécurité logicielle particulière.
Recommandations :
- Pour les chercheurs : Privilégier les programmes de primes encore actifs (Cloud VRP) ou se concentrer sur la soumission de correctifs (Patch Rewards Program) pour garantir la recevabilité du travail.
- Pour les organisations : Anticiper une augmentation du volume de signalements due à l’automatisation par l’IA et mettre en place des mécanismes de filtrage plus rigoureux pour maintenir l’efficacité des programmes de Bug Bounty.