Google a suspendu son programme de bug bounty Open Source Software Vulnerability Rewards Program (OSS VRP). L’entreprise explique qu’elle reçoit trop de rapports erronés générés par IA.

Depuis le 1er octobre dernier, Google n’accepte « plus les signalements de vulnérabilités de produits soumis au programme OSS VRP [Open Source Software Vulnerability Rewards Program] », a-t-elle expliqué sur la page dédiée à ce programme.

L’entreprise avait ouvert ce programme spécifique aux logiciels libres en 2022. Elle expliquait à l’époque qu’ « en fonction de la gravité de la faille de sécurité et de l’importance du projet, les récompenses varieront entre 100 et 31 337 dollars ». L’idée était notamment de faire émerger les vulnérabilités de la supply chain, mais aussi les problèmes de design informatique causant des problèmes de sécurité, par exemple.

« Une forte augmentation des soumissions automatisées »

Mais le système mis en place par Google pour recueillir ces signalements (qui peuvent donc être lucratifs pour leurs auteurs) montre des signes de fragilité face à l’affluence des signalements de plus en plus automatisés via l’IA générative. Comme Apple cet été, Google ferme le robinet.

L’entreprise le dit dans un message posté sur X : « Cette interruption est due à une forte augmentation des soumissions automatisées, dont la grande majorité n’est pas valide. Nous allons poursuivre le remaniement et le travail sur cet aspect du programme OSS VRP et nous nous engageons à faire le point au premier trimestre 2027 ».

Tous les programmes de bug bounty de Google ne sont pas touchés : uniquement l’OSS VRP. L’entreprise redirige donc les personnes qui voudraient signaler une faille notamment vers son programme Patch Rewards.

Ces entreprises, qui par ailleurs font la course aux modèles d’IA générative, n’ont pas trouvé la solution pour éviter la submersion de contenus générés par IA de qualité médiocre qui les empêche de traiter convenablement les signalements réellement utiles.

« Impact psychologique considérable »

Mais ce problème touche d’autres organisations. Ainsi, en janvier dernier, le créateur du fameux logiciel libre cURL, Daniel Stenberg, avait annoncé : « Le programme de bug bounty de cURL n’existe plus. Il prendra officiellement fin le 31 janvier 2026 ». « La gestion de ces soumissions incessantes de contenus de mauvaise qualité a un impact psychologique considérable et prend parfois beaucoup de temps à démystifier. C’est du temps et de l’énergie complètement gaspillés, qui sapent en outre notre envie de vivre », expliquait-il.

Du côté de la communauté du noyau Linux, le sujet est vu différemment. Si Linus Torvalds avait pesté un moment contre les nombreux rapports d’erreurs générés par les LLM et peu efficaces, cet été il avait changé d’avis sur le sujet et refusait de rejeter en bloc les rapports d’erreurs générés de la sorte, se disant prêt à peser de tout son poids de mainteneur principal du noyau si nécessaire. Il faut préciser qu’on ne parle pas ici de signalements faisant appel à rétribution. Le système des bug bounty attribuant une récompense aux signalements, avec une somme plus importante en fonction de l’importance du bug pousse sans doute davantage certains à utiliser des systèmes automatisés de signalements de bugs, sans se préoccuper de leur qualité et de la possible submersion du système.

Google a suspendu son programme de bug bounty Open Source Software Vulnerability Rewards Program (OSS VRP). L’entreprise explique qu’elle reçoit trop de rapports erronés générés par IA.

Depuis le 1er octobre dernier, Google n’accepte « plus les signalements de vulnérabilités de produits soumis au programme OSS VRP [Open Source Software Vulnerability Rewards Program] », a-t-elle expliqué sur la page dédiée à ce programme.

L’entreprise avait ouvert ce programme spécifique aux logiciels libres en 2022. Elle expliquait à l’époque qu’ « en fonction de la gravité de la faille de sécurité et de l’importance du projet, les récompenses varieront entre 100 et 31 337 dollars ». L’idée était notamment de faire émerger les vulnérabilités de la supply chain, mais aussi les problèmes de design informatique causant des problèmes de sécurité, par exemple.

« Une forte augmentation des soumissions automatisées »

Mais le système mis en place par Google pour recueillir ces signalements (qui peuvent donc être lucratifs pour leurs auteurs) montre des signes de fragilité face à l’affluence des signalements de plus en plus automatisés via l’IA générative. Comme Apple cet été, Google ferme le robinet.

L’entreprise le dit dans un message posté sur X : « Cette interruption est due à une forte augmentation des soumissions automatisées, dont la grande majorité n’est pas valide. Nous allons poursuivre le remaniement et le travail sur cet aspect du programme OSS VRP et nous nous engageons à faire le point au premier trimestre 2027 ».

Tous les programmes de bug bounty de Google ne sont pas touchés : uniquement l’OSS VRP. L’entreprise redirige donc les personnes qui voudraient signaler une faille notamment vers son programme Patch Rewards.

Ces entreprises, qui par ailleurs font la course aux modèles d’IA générative, n’ont pas trouvé la solution pour éviter la submersion de contenus générés par IA de qualité médiocre qui les empêche de traiter convenablement les signalements réellement utiles.

« Impact psychologique considérable »

Mais ce problème touche d’autres organisations. Ainsi, en janvier dernier, le créateur du fameux logiciel libre cURL, Daniel Stenberg, avait annoncé : « Le programme de bug bounty de cURL n’existe plus. Il prendra officiellement fin le 31 janvier 2026 ». « La gestion de ces soumissions incessantes de contenus de mauvaise qualité a un impact psychologique considérable et prend parfois beaucoup de temps à démystifier. C’est du temps et de l’énergie complètement gaspillés, qui sapent en outre notre envie de vivre », expliquait-il.

Du côté de la communauté du noyau Linux, le sujet est vu différemment. Si Linus Torvalds avait pesté un moment contre les nombreux rapports d’erreurs générés par les LLM et peu efficaces, cet été il avait changé d’avis sur le sujet et refusait de rejeter en bloc les rapports d’erreurs générés de la sorte, se disant prêt à peser de tout son poids de mainteneur principal du noyau si nécessaire. Il faut préciser qu’on ne parle pas ici de signalements faisant appel à rétribution. Le système des bug bounty attribuant une récompense aux signalements, avec une somme plus importante en fonction de l’importance du bug pousse sans doute davantage certains à utiliser des systèmes automatisés de signalements de bugs, sans se préoccuper de leur qualité et de la possible submersion du système.

Le gouvernement norvégien avait déjà annoncé qu’il voulait durcir la législation du pays concernant l’utilisation des lunettes connectées alors que la grogne s’amplifie contre les lunettes Meta un peu partout. Il explique maintenant que ce durcissement devrait passer par une « interdiction temporaire » de ces lunettes dans certains lieux publics.

« Le temps de mener une étude approfondie et d’avoir un débat éclairé qui pourra jeter les bases d’une réglementation durable », précise le ministre de la Numérisation et de la Gouvernance publique, Torgeir Micaelsen, qui semble reprendre le dossier des mains de la ministre chargée du numérique, Karianne Tung. Celle-ci avait montré des signes de réticence à toute nouvelle législation sur le sujet au début de l’été.

Sans qu’un texte de loi ne soit encore rédigé, le communiqué évoque comme potentiels lieux interdits à ces lunettes les parcs, les plages, les musées, les aires de jeux, les parcs d’attractions, ainsi que les manifestations sportives, musicales et culturelles. Les lieux de scolarisation de la maternelle au lycée, voire aux établissements d’enseignement supérieur devraient figurer dans la liste aussi.

L’interdiction de ces lunettes connectées ne serait pas totale en Norvège. Le gouvernement évoque, comme l’explique Reuters, la possibilité de les utiliser dans des lieux purement privés et certains endroits où l’utilisation ne présente aucun risque d’être filmé sans son consentement.

Le gouvernement norvégien avait déjà annoncé qu’il voulait durcir la législation du pays concernant l’utilisation des lunettes connectées alors que la grogne s’amplifie contre les lunettes Meta un peu partout. Il explique maintenant que ce durcissement devrait passer par une « interdiction temporaire » de ces lunettes dans certains lieux publics.

« Le temps de mener une étude approfondie et d’avoir un débat éclairé qui pourra jeter les bases d’une réglementation durable », précise le ministre de la Numérisation et de la Gouvernance publique, Torgeir Micaelsen, qui semble reprendre le dossier des mains de la ministre chargée du numérique, Karianne Tung. Celle-ci avait montré des signes de réticence à toute nouvelle législation sur le sujet au début de l’été.

Sans qu’un texte de loi ne soit encore rédigé, le communiqué évoque comme potentiels lieux interdits à ces lunettes les parcs, les plages, les musées, les aires de jeux, les parcs d’attractions, ainsi que les manifestations sportives, musicales et culturelles. Les lieux de scolarisation de la maternelle au lycée, voire aux établissements d’enseignement supérieur devraient figurer dans la liste aussi.

L’interdiction de ces lunettes connectées ne serait pas totale en Norvège. Le gouvernement évoque, comme l’explique Reuters, la possibilité de les utiliser dans des lieux purement privés et certains endroits où l’utilisation ne présente aucun risque d’être filmé sans son consentement.

Une hypothèse crédible n'est pas une découverte

Il y a un peu plus d’une semaine, Anthropic annonçait que Claude avait découvert un nouveau système enzymatique, « dont la structure rappelle celle du système CRISPR ». Mais « tout le travail reste à faire », nous explique Alexis Verger, biologiste au CNRS.

En parallèle des maths, les entreprises d’IA générative utilisent maintenant la recherche en biologie pour assurer la promotion de leurs outils alors qu’elles préparent leurs entrées en bourse, quitte à crier à une découverte qui n’en est encore qu’à l’étape d’hypothèse.

• L’IA générative bouscule la recherche en mathématiques
• Comment OpenAI et Anthropic se voient en futurs financeurs de la recherche mondiale

Ainsi, Anthropic a annoncé le 23 septembre 2026 que son IA Claude a « découvert un nouveau système enzymatique » que l’entreprise compare à CRISPR. La découverte de cette méthode d’édition du génome en 2012 avait permis à Emmanuelle Charpentier et Jennifer Doudna d’obtenir le prix Nobel de chimie en 2020.

Mais Anthropic est encore loin d’avoir prouvé la découverte d’un système comparable à CRISPR en n’ayant pas vérifié son hypothèse. « Tout le travail [en laboratoire de paillasse] reste à faire », nous explique Alexis Verger, biologiste au CNRS.

Anthropic a mis en ligne, au moment de l’annonce, un billet de blog et un « rapport technique » [PDF] rédigé par une équipe de chercheurs récemment embauchés par l’entreprise. Ce document n’a pas été publié dans une revue scientifique ni mis en ligne sur un serveur de prépublication habituellement utilisé par des chercheurs de la discipline.

Une campagne d’agents IA pour mettre en place une hypothèse crédible