Le 1er octobre 2026, Google a fait une annonce inattendue : la suspension temporaire de son programme OSS VRP, un dispositif r\u00e9compensant les chercheurs en s\u00e9curit\u00e9 pour les vuln\u00e9rabilit\u00e9s d\u00e9couvertes dans ses logiciels open source. La raison ? Une surcharge in\u00e9dite de rapports automatis\u00e9s g\u00e9n\u00e9r\u00e9s par l’IA, dont la majorit\u00e9 ne correspond pas \u00e0 des failles r\u00e9elles. Ce d\u00e9fi technologique soul\u00e8ve des questions sur l’avenir des initiatives de cybers\u00e9curit\u00e9 et la place croissante de l’intelligence artificielle dans ce domaine.<\/p>\n
Le OSS VRP, lanc\u00e9 en ao\u00fbt 2022, visait \u00e0 prot\u00e9ger les projets open source critiques de Google, comme Go, Angular ou Fuchsia. Il offrait des r\u00e9compenses allant de 100 \u00e0 des dizaines de milliers de dollars, en mettant l’accent sur les vuln\u00e9rabilit\u00e9s impactant la cha\u00eene d’approvisionnement logicielle. Mais depuis quelques mois, le programme a \u00e9t\u00e9 submerg\u00e9 par des signalements automatis\u00e9s, souvent produits par des outils d’IA. Ces rapports, bien que nombreux, sont pour la plupart vides de sens, rendant le tri des vuln\u00e9rabilit\u00e9s r\u00e9elles presque impossible. Une situation qui a pouss\u00e9 Google \u00e0 suspendre temporairement l’acceptation des rapports li\u00e9s aux vuln\u00e9rabilit\u00e9s de produit, tout en maintenant les signalements sur la cha\u00eene d’approvisionnement.<\/p>\n
La communaut\u00e9 de la s\u00e9curit\u00e9 a r\u00e9agi avec une certaine perplexit\u00e9. Linus Torvalds, fondateur de Linux, a critiqu\u00e9 l’impact de ces rapports automatis\u00e9s, d\u00e9crivant la situation comme une \u00ab agitation totalement inutile \u00bb qui rendait la gestion des vuln\u00e9rabilit\u00e9s \u00ab presque enti\u00e8rement ing\u00e9rable \u00bb. Google a propos\u00e9 une alternative : le Patch Rewards Program, qui r\u00e9compense non pas la d\u00e9couverte de failles, mais la proposition de correctifs. Cette approche, bien que diff\u00e9rente, pourrait encourager une collaboration plus directe entre les chercheurs et les \u00e9quipes de d\u00e9veloppement. Cependant, elle soul\u00e8ve des questions : est-ce que la r\u00e9compense d’un correctif est plus valorisante que la d\u00e9couverte d’une vuln\u00e9rabilit\u00e9 ?<\/p>\n
Cette suspension temporaire du OSS VRP refl\u00e8te un dilemme croissant dans le monde de la cybers\u00e9curit\u00e9 : comment g\u00e9rer l’explosion des outils d’IA, qui, bien que puissants, g\u00e9n\u00e8rent souvent des faux positifs ? Google a insist\u00e9 sur le fait qu’il s’agit d’une pause provisoire, avec une reprise pr\u00e9vue pour 2027. Mais cette situation pourrait marquer un tournant dans la mani\u00e8re dont les entreprises abordent les programmes de r\u00e9compenses. L’avenir d\u00e9pendra peut-\u00eatre de la capacit\u00e9 \u00e0 int\u00e9grer l’IA non pas comme une menace, mais comme un outil compl\u00e9mentaire, capable de filtrer les signalements et d’acc\u00e9l\u00e9rer les processus de validation. En attendant, les chercheurs en s\u00e9curit\u00e9 doivent s’adapter \u00e0 un paysage en constante \u00e9volution, o\u00f9 la collaboration humaine et l’intelligence artificielle deviennent de plus en plus inextricables. Suivez l’actualit\u00e9 de la tech pour d\u00e9couvrir comment ces enjeux \u00e9voluent, et comment les acteurs du secteur cherchent \u00e0 repenser leur approche de la cybers\u00e9curit\u00e9.<\/p>\n