Le programme Bug Bounty de Google perturbé par les rapports générés par l'IA

Google a suspendu le 1er octobre une catégorie de soumissions pour son programme de récompenses de vulnérabilités logicielles open source (VRP). Ce programme vise à rémunérer des chercheurs externes pour l'identification de failles de sécurité dans les logiciels.

L'entreprise a invoqué "une augmentation significative des soumissions automatisées, dont la grande majorité n'est pas valide" comme raison de cette pause. Cela rend difficile pour Google de distinguer les véritables vulnérabilités de sécurité des rapports fabriqués ou générés par l'IA.

Google n'est pas la première entité à rencontrer ce problème. Plus tôt cette année, le projet open source curl a mis fin à son propre programme de primes aux bogues. Le taux de vulnérabilités confirmées aurait chuté sous les 5 % à partir de 2025, contre plus de 15 % les années précédentes.

Bien qu'alimenté par l'intelligence artificielle (IA), ce problème trouve ses racines dans des principes psychologiques et biologiques plus anciens, tels que le "principe du handicap". Auparavant, l'effort requis pour produire une soumission servait de filtre, mais l'IA a largement supprimé cette barrière. Les conséquences vont au-delà des signalements de bogues et affectent la perception générale et la fiabilité des signaux.