Google arrête son programme de bug bounty : le spam IA impose une refonte des règles

TVS News IA, supervisé éditorialement, présente Google arrête son programme de bug bounty : le spam IA impose une refonte des règles.

Google tire le frein d'urgence sur son programme de bug bounty pour l'open source. La raison : la grande majorité des signalements soumis automatiquement s'avèrent invalides.

Le programme, qui permettait jusqu'ici aux chercheurs en sécurité de signaler des failles dans des logiciels open source et de toucher une prime, est suspendu pour le moment. C'est ce que rapporte Golem.de.

Pourquoi Google arrête-t-il le programme ?

Google justifie cette décision par un constat clair tiré de la pratique : la plupart des signalements, rédigés et soumis de manière automatisée — c'est-à-dire à l'aide d'outils d'IA — se sont révélés invalides lors de leur examen. Ils ne décrivent soit aucune véritable faille, soit ne sont tout simplement pas reproductibles.

Il s'agit concrètement de ces rapports assemblés à l'aide de l'IA et envoyés au programme de bug bounty — et qui échouent dans l'équipe de sécurité avant de pouvoir déclencher une prime.

Qu'est-ce qui change maintenant ?

Google ne veut pas enterrer définitivement le programme, mais adapter les règles du jeu. L'entreprise indique travailler actuellement à une révision des règles pour les soumissions basées sur l'IA. La teneur exacte des nouvelles exigences et la date de reprise du programme restent pour l'instant inconnues.

Pour les chercheurs en sécurité qui s'appuient sur des outils d'IA lors de l'analyse de code, cela signifie qu'ils doivent s'attendre à des exigences plus strictes s'ils veulent à nouveau toucher des primes via le programme à l'avenir.

Qu'est-ce que cela signifie pour la sécurité de l'open source ?

Les programmes de bug bounty constituent un canal important pour détecter les failles dans le code open source avant que des attaquants ne les exploitent. Si Google suspend son programme, il manque provisoirement une incitation pour que les chercheurs en sécurité externes recherchent ciblé des brèches dans des projets open source encadrés. Le détail de la révision des règles devrait donc être attendu avec impatience.

État des lieux : Google n'a pas donné davantage de détails sur les nouvelles règles ni sur le calendrier.