Financement
Google gèle son programme de primes open source
Google a suspendu les soumissions de vulnérabilités logicielles de son programme de primes open source le 1er octobre 2026. L'afflux massif de rapports invalides générés par des outils d'intelligence artificielle paralyse le travail de validation des ingénieurs.
Par Noé · rédaction IA
Le 1er octobre 2026, Google a annoncé sur X et sur le site de son Open Source Software Vulnerability Reward Program la suspension immédiate des soumissions de vulnérabilités ciblant ses produits, une décision documentée par Tom's Hardware.
Les équipes de maintenance passent désormais l'essentiel de leur temps à trier des hallucinations logicielles automatisées au lieu de corriger de réelles brèches. Pour les chercheurs indépendants, l'accès aux primes sur le code des logiciels ouverts de l'entreprise reste bloqué au moins jusqu'au premier trimestre 2027.
Google bloque les soumissions face aux faux bugs
Le programme OSS VRP récompensait financièrement les chercheurs indépendants qui signalaient des failles de sécurité dans les dépôts publics de Google. L'apparition d'outils automatisés adossés aux modèles de langage a provoqué une hausse brutale de soumissions sans consistance. Comme le détaille l'enquête publiée par Tom's Hardware, les ingénieurs de l'entreprise ainsi que les mainteneurs externes ont vu leur temps absorbé par des milliers de dossiers décrivant des vulnérabilités imaginaires ou inexploitables. L'entreprise a donc décidé de suspendre les dépôts relatifs aux produits à compter du 1er octobre 2026. Cette mesure vise à protéger la charge de travail des développeurs, contraints de délaisser la correction des failles critiques réelles pour trier des hallucinations produites à la chaîne.
Les scripts automatisés dégradent l'analyse humaine
La découverte de failles de conception ou d'erreurs de logique exigeait traditionnellement un travail manuel pointu et une expertise technique rigoureuse. L'utilisation massive de scripts de détection couplés à des agents génératifs a abaissé le coût marginal de création d'un rapport à presque zéro. En conséquence, les boîtes de réception de l'OSS VRP ont été envahies par des descriptions plausibles mais techniquement nulles. Un article de TechCrunch rappelle que plusieurs analystes en cybersécurité alertaient déjà sur les risques d'engorgement que feraient peser ces contenus artificiels sur les programmes de récompense. Cette pollution numérique neutralise l'efficacité de la vérification manuelle, obligeant le commanditaire à repenser l'évaluation de chaque contribution externe.
L'écosystème open source encaisse la même saturation
La décision prise par l'entreprise de Mountain View reflète une crise plus vaste qui touche l'ensemble des projets ouverts. Les mainteneurs du noyau Linux ont récemment déclaré être submergés par les découvertes de CVE issues de chasseurs de primes utilisant l'intelligence artificielle, poussant le noyau à un volume record de 2 000 vulnérabilités recensées par version. Cette pression a d'ailleurs conduit Linux à supprimer la prise en charge d'anciens pilotes réseau saturés de signalements fallacieux. De son côté, Intel a suspendu son propre programme de primes qui offrait jusqu'à 100 000 $ par vulnérabilité, dans un contexte où les experts suspectent également un afflux de rapports automatisés. Les canaux ouverts de réception de failles deviennent impraticables sans un filtrage strict préalable.
Les règles de soumission imposent un changement de cap
La fermeture annoncée le 1er octobre 2026 ne s'applique pas à l'intégralité des activités de recherche de failles chez Google. Les rapports concernant la chaîne d'approvisionnement dans le cadre de l'OSS VRP restent acceptés par l'organisation, tout comme les dossiers soumis avant la date butoir. De plus, l'entreprise maintient la possibilité de déclarer des vulnérabilités logicielles via son Cloud VRP pour certains dépôts Google Cloud ayant un impact direct sur ses services en nuage. Google a promis un point d'étape au cours du premier trimestre 2027 afin de présenter un fonctionnement révisé. Les contributeurs doivent désormais rediriger leurs efforts vers d'autres programmes ciblés ou patienter jusqu'à la refonte complète du dispositif d'évaluation.
- 2 000 vulnérabilités par version recensées sur le noyau Linux sous la pression des outils de recherche automatisés tomshardware.com, 2026-10-01
Cette pause est due à une augmentation significative des soumissions automatisées, dont la grande majorité ne sont pas valides.
Le gel du programme prive les chercheurs sérieux d'un canal direct de rémunération pour leurs découvertes légitimes sur les logiciels ouverts de Google, laissant de potentielles failles critiques non traitées jusqu'à la réouverture prévue en 2027.
Aucune action technique n'est requise pour une petite structure, mais les développeurs indépendants qui comptaient sur l'OSS VRP pour monétiser leurs recherches de failles sur les dépôts de Google doivent rediriger leurs déclarations vers le Cloud VRP ou attendre le premier trimestre 2027.
Tous les programmes de récompense de Google sont-ils arrêtés ?
Non, la suspension concerne les vulnérabilités de produits sur l'OSS VRP. Les rapports sur la chaîne d'approvisionnement et les failles déclarées via le Cloud VRP restent acceptés.
Quand le programme OSS VRP reprendra-t-il ?
Google a annoncé qu'une mise à jour sur l'évolution et le format de son programme sera communiquée au premier trimestre 2027.
- Google a gelé les soumissions de failles logicielles de son programme OSS VRP le 1er octobre 2026.
- Des milliers de signalements invalides générés par IA monopolisaient le temps des ingénieurs de sécurité.
- Une réorganisation du programme de récompenses doit être annoncée au premier trimestre 2027.