Analyse de la suspension du Google OSS VRP : les validations sont rares

La boîte de réception des bug bounties a toujours été un drôle de petit marécage : de vraies failles, des malentendus enthousiastes, des rapports en double et, de temps à autre, une capture d’écran ayant la valeur médico-légale d’une pomme de terre. Google vient de poser une clôture temporaire autour d’une partie de ce marécage. Pas parce que les chercheurs ont cessé de trouver des bugs, mais parce que les machines ont rendu l’envoi de bruit à l’échelle industrielle beaucoup trop bon marché.

Pour une fois, il ne s’agit pas d’une fuite de données accompagnée d’un communiqué d’excuses plastifié. C’est une histoire d’échec de processus, ce qui est en quelque sorte plus utile et moins cinématographique. La leçon est directe : quand l’IA rend la génération de rapports peu coûteuse, la partie coûteuse devient de prouver que quelque chose dans la pile est réel.

Ce qui s’est passé : une file de bug bounty a heurté le mur du spam

Selon dev.ua, Google a suspendu les rapports dans le cadre de son Open Source Vulnerability Rewards Program à partir du 1er octobre 2026, après une hausse anormale de rapports générés par IA, dont la plupart étaient invalides. BleepingComputer a signalé la même pause pour les soumissions OSS VRP et a indiqué que le programme couvre des projets open source maintenus par Google, notamment Golang, Angular, Bazel, Protocol Buffers et Fuchsia, ainsi que des dépendances tierces critiques et des paramètres de dépôts. Google a lancé l’OSS VRP en août 2022, selon BleepingComputer, avec des récompenses allant de 100 à 31 337 dollars pour des failles de sécurité ayant un impact important sur la chaîne d’approvisionnement logicielle.

@title Comment le spam par IA bloque le triage
@source BleepingComputer
@source Neowin

  AI reports
     │
     ▼
  Mostly invalid
     │
     ▼
  Human review
     │
     ├─ OSS product pause
     ├─ Supply chain continues
     ├─ Cloud VRP continues
     └─ Patch Rewards continues

@caption Google a suspendu les rapports sur les produits OSS tandis que les autres voies de signalement restent ouvertes.

La citation clé, via BleepingComputer, est le genre de phrase d’entreprise calme qui cache une salle de triage pleine de gens regardant l’abîme fluorescent : « Nous n’acceptons temporairement plus les soumissions de vulnérabilités de produits OSS VRP. Cela n’affecte pas les rapports OSS VRP sur la chaîne d’approvisionnement, ni les rapports déjà en cours. » Google a également déclaré, selon le même rapport : « Cette pause est due à une forte augmentation des soumissions automatisées, dont la grande majorité ne sont pas valides. » Traduction : le scanner a trouvé une ombre, a écrit une novella, et un humain devait quand même vérifier si le dragon existait vraiment.

Le périmètre touché : plus étroit que ne le suggère le titre

Neowin a rapporté que le gel affecte le signalement de bugs open source jusqu’au premier trimestre 2027, mais uniquement pour les soumissions de vulnérabilités de produits dans le cadre de l’OSS VRP. Cette distinction compte, car les programmes de divulgation de vulnérabilités ne sont pas un seul gros bouton rouge marqué panique. BleepingComputer a rapporté que les rapports OSS VRP sur la chaîne d’approvisionnement et les rapports déjà en cours ne sont pas affectés, et que les chercheurs peuvent toujours utiliser les soumissions du Google Patch Rewards Program pour les correctifs open source, avec des primes pouvant atteindre 15 000 dollars pour les correctifs à fort impact.

BleepingComputer a également rapporté que les vulnérabilités dans les dépôts open source Google Cloud affectant des produits Cloud peuvent toujours passer par le Cloud VRP. Le point à retenir pour le lecteur n’est donc pas que Google a abandonné la sécurité open source. C’est qu’une voie d’entrée s’est tellement bouchée que Google l’a temporairement fermée tout en laissant les autres voies ouvertes, comme un hôpital qui redirige les cas non urgents parce que la salle d’attente est pleine de dossiers générés par IA diagnostiquant à tout le monde une fièvre du phare.

L’économie : l’IA a rendu les rapports bon marché, la validation est restée coûteuse

Neowin a rapporté que les mainteneurs étaient submergés par des milliers de faux rapports et que chaque rapport devait être vérifié par un humain, ce qui entraînait de l’épuisement. C’est la vraie histoire. L’IA n’a pas magiquement créé des vulnérabilités vérifiées au même rythme qu’elle a créé des soumissions qui semblent plausibles, et plausible est un mot dangereux en sécurité, car il suffit d’un changement de costume pour faire perdre une semaine.

Les programmes de bug bounty supposaient autrefois un certain niveau de friction : trouver un bug, le reproduire, rédiger un rapport et expliquer son impact demandait des efforts. L’IA réduit le coût de la paperasse et parfois de la découverte initiale, mais elle ne réduit pas automatiquement le coût de la validation. Le goulot d’étranglement se déplace du volume de découvertes vers la qualité du signal, et si votre processus d’entrée paie la même taxe d’attention sur des absurdités que sur un exploit fonctionnel, félicitations, vous avez construit une vulnérabilité de déni de service dans votre propre file de triage.

Ce que cela signifie concrètement pour vous

Pour les équipes qui construisent des produits et les responsables sécurité, la pause de Google rapportée par BleepingComputer et dev.ua est une étude de cas utile pour concevoir des programmes de divulgation dans un monde saturé d’IA. Les formulaires d’entrée doivent récompenser la reproductibilité, la preuve d’impact, les exemples minimaux fonctionnels et les composants affectés clairement identifiés, pas seulement une prose assurée. Les programmes pourraient aussi avoir besoin de périmètres plus précis, de vérifications avant soumission, d’une pondération fondée sur la réputation des chercheurs et de voies de rejet plus rapides pour les rapports qui ne montrent pas qu’une vraie frontière de sécurité a été franchie.

Pour les chercheurs, le message est tout aussi pratique : l’assistance par IA n’est pas le péché, la soumission à faible signal l’est. Si un outil vous aide à inspecter du code, très bien, bienvenue dans le travail moderne. Mais si le rapport final ne peut pas expliquer le chemin vulnérable, l’impact et les étapes pour reproduire, ce n’est pas de la recherche, c’est des confettis avec un chapeau en forme de CVE.

La prochaine chose à surveiller est la manière dont Google réajustera l’OSS VRP avant la levée de la pause, ce sur quoi Google travaille, selon BleepingComputer. Si Google trouve un meilleur filtre, d’autres mainteneurs le copieront, parce que personne ne veut que son bureau de bug bounty se transforme en tas de compost d’IA. Internet n’est pas sauvé par davantage de rapports à eux seuls ; il est sauvé par des rapports validés et exploitables qui permettent aux humains de corriger la bonne chose avant que les mauvaises personnes ne la remarquent.