Google gèle son bug bounty open source, submergé de faux rapports générés par IA

Google a suspendu le 1er octobre les signalements de vulnérabilités de son Open Source Software VRP. Ce programme rémunère depuis 2022 la découverte de failles dans ses projets open source. L'équipe l'annonce sur le compte X de Google VRP et sur la page du programme : les soumissions automatisées ont fortement augmenté et « la grande majorité ne sont pas valides ». TechCrunch a relayé la décision le 4 octobre. Google promet un point d'étape au premier trimestre 2027.

TL;DRL'essentiel pour les pressés

L'OSS VRP n'accepte plus de rapports de vulnérabilités produit depuis le 1er octobre. Les rapports sur la chaîne d'approvisionnement (supply chain) et les dossiers en cours continuent.
Google invoque une hausse de soumissions automatisées presque toutes invalides, le même flot de rapports générés par IA qui a fait fermer le bug bounty de curl le 31 janvier.
Chez curl, la proportion de vrais rapports est passée de 1 sur 6 début 2025 à 1 sur 20 ou 30 fin 2025, selon Daniel Stenberg.

1 sur 30rapports de sécurité reçus par curl fin 2025 qui décrivaient une vraie faille, contre 1 sur 6 début 2025 (Daniel Stenberg, The New Stack)

La prime attire les faux rapports plus vite que les vrais

Le mécanisme est économique. Un rapport de vulnérabilité plausible se génère pour quelques centimes avec un modèle de langage. Sa vérification coûte des heures d'ingénieur. Tant qu'une prime attend au bout, des comptes soumettent en masse des rapports inventés et espèrent qu'un sur cent passe. Les programmes qui paient saturent donc en premier. L'OSS VRP payait jusqu'à 31 337 dollars pour une faille grave dans ses projets prioritaires comme Bazel, Angular ou Go.

curl a suivi la même pente. Le projet a reçu jusqu'à sept signalements HackerOne en seize heures et Daniel Stenberg a fermé sa prime le 31 janvier 2026, après sept ans de programme.

Le premier objectif de cette fermeture est de supprimer l'incitation à nous envoyer des rapports bâclés et mal documentés.

Daniel Stenberg, créateur de curl

Google ne ferme pas tout. L'OSS VRP continue d'accepter les rapports sur la chaîne d'approvisionnement, les dossiers ouverts suivent leur cours et les autres programmes (Chrome, Android, applications) fonctionnent normalement. La cible est précise : les rapports produits par IA puis envoyés sans reproduction ni preuve. Car les modèles trouvent aussi de vraies failles. Le même week-end, une faille critique découverte par Mythos, le modèle d'Anthropic, était exploitée en un jour.

Mon avis : notable. Les primes publiques servaient de canal de confiance entre chercheurs indépendants et éditeurs. Si chaque programme ferme ou filtre durement, les chercheurs sérieux perdent un revenu et les éditeurs une partie de leur visibilité sur leurs propres failles. Les adresses security@ des éditeurs français recevront le même flot, avec ou sans prime.

Ce que ça change pour vous

Si vous cherchez des failles avec l'aide d'un modèle, la règle se durcit : sans preuve d'exploitation reproductible, votre rapport part dans le même sac que le spam. Un vrai signalement se distingue désormais par son PoC (preuve de concept exécutable), ses étapes de reproduction et la version exacte testée.

Si vous éditez un SaaS ou gérez une politique de divulgation, attendez-vous au même volume. Un formulaire qui exige un PoC, la version affectée et les étapes de reproduction filtre l'essentiel du flot avant vos ingénieurs. Pour les mainteneurs open source, Stenberg le dit sans détour : la prime elle-même crée l'incitation, et la retirer a ramené le calme chez curl dès février.

Ce que vous devez faireConcrètement, pour votre visibilité

Si tu visais l'OSS VRP, bascule vers les programmes Google toujours ouverts (Chrome VRP, Android VRP) listés sur bughunters.google.com : le gel ne les concerne pas.
Joins à chaque signalement un PoC exécutable, les étapes de reproduction et la version testée : sans ces trois éléments, ton rapport sera traité comme du spam généré.
Si tu gères un formulaire de divulgation, rends le champ PoC obligatoire et ajoute un tri avant tes ingénieurs : curl recevait jusqu'à sept rapports en seize heures avant de fermer.