Intel met fin à son programme de primes pour les failles de sécurité

Intel a mis fin à son programme bien établi de primes pour les chercheurs en sécurité, une initiative qui récompensait les participants jusqu'à 100 000 dollars pour la découverte de vulnérabilités dans ses produits. L'entreprise se tourne désormais vers un nouveau système de signalement hébergé sur la plateforme Intigriti, désigné comme un projet de divulgation responsable et qui ne propose plus de compensation financière.

Lancé en 2017 et ouvert à tous les chercheurs en 2018, l'ancien programme permettait de recevoir des récompenses allant de 250 dollars pour des problèmes mineurs à un maximum de 100 000 dollars pour les vulnérabilités critiques. Ce programme a contribué à la résolution de nombreuses défaillances avant qu'elles ne puissent être exploitées, près de la moitié des vulnérabilités et expositions communes (CVE) corrigées par Intel en 2020 provenant de cette initiative.

Bien qu'Intel n'ait pas fourni de raison officielle pour cette décision, elle s'inscrit dans les tendances générales du secteur, potentiellement influencées par l'essor de l'intelligence artificielle. L'afflux de rapports de sécurité générés par l'IA a apparemment submergé les mainteneurs de projets open source, entraînant une augmentation significative des soumissions. Ce problème a conduit d'autres projets, tels que Curl, à suspendre leurs propres programmes de primes en raison d'un flot de soumissions automatisées de faible qualité.

Les chercheurs peuvent toujours signaler les vulnérabilités découvertes dans le matériel, les micrologiciels, les logiciels et les projets open source d'Intel via le nouveau portail Intigriti. Cependant, les incitations financières précédemment associées à de telles découvertes ont été supprimées, marquant un changement notable dans la manière dont l'entreprise aborde la recherche externe en sécurité.