Le 1er octobre, Google a annoncé la suspension des signalements de failles dans les produits couverts par son programme de récompenses pour les vulnérabilités des logiciels open source (OSS VRP). Cette pause est temporaire et durera le temps que l’entreprise fasse face à une hausse des signalements invalides générés par des outils d’intelligence artificielle. Google précise que les participants peuvent toujours soumettre des bugs dans le cadre d’autres programmes VRP et promet de faire le point sur la situation d’ici au premier trimestre 2027.
Qu’est-ce qui a provoqué la suspension ?
L’entreprise a constaté un grand nombre de soumissions qui semblaient avoir été générées automatiquement par l’IA et ne contenaient aucune faille de sécurité avérée. Ces signalements de faible qualité ont engorgé le processus d’examen et empêché les ingénieurs de se concentrer sur les véritables bugs. Pour préserver l’efficacité du programme, Google a choisi de suspendre les nouvelles soumissions concernant ses produits, le temps de repenser leur traitement.
Pourquoi c'est important
Pour les chercheurs en sécurité, cette suspension signifie qu’ils doivent pour l’instant signaler les bugs open source dans le cadre d’autres programmes de récompenses, ce qui pourrait retarder le versement des primes pour les failles avérées. Pour les développeurs, cette interruption à court terme pourrait réduire le nombre de correctifs rapides pour les composants open source dont ils dépendent. Google n’a pas précisé combien de temps durera la suspension, au-delà de la mise à jour promise pour 2027.
