Google suspend les bugs produit dans son bug bounty open source

La page des règles du Google Open Source Software Vulnerability Reward Program le dit en une ligne : depuis le 1er octobre 2026, les signalements de vulnérabilités produit ne sont plus acceptés. La seule exception concerne certains dépôts Google Cloud ayant un impact sur des produits Google Cloud, pour lesquels les signalements peuvent encore passer par le Cloud VRP. Le compte @GoogleVRP sur X a précisé le 1er octobre que la mesure ne touche ni les signalements liés à la chaîne d'approvisionnement ni ceux déjà envoyés et encore ouverts, et a invité les chercheurs à se tourner vers les autres programmes VRP de l'entreprise. Toute l'échelle des récompenses pour la compromission de la chaîne d'approvisionnement reste en place : jusqu'à 31 337 dollars pour les projets de niveau OT0 (Flagship), 13 337 pour OT1, 3 133,70 pour OT2, rien en argent pour OT3.

Ce qu'il faut noter, c'est que la page officielle ne dit pas pourquoi. Elle annonce la suspension, s'engage à continuer de réexaminer cette partie du programme et fixe un rendez-vous au premier trimestre 2027. La raison est à chercher ailleurs, et le document qui s'en approche le plus est le billet du blog Google Bug Hunters consacré à la révision des règles de 2026 : l'entreprise y signalait une forte hausse des signalements de faible qualité ou invalides, dont des « AI-generated reports that contain incorrect information or 'hallucinations' about how a vulnerability might be triggered ». Cette même révision avait introduit les niveaux de projet OT0–OT3, l'obligation pour les projets des niveaux supérieurs de fournir une reproduction exacte avec OSS-Fuzz ou un correctif déjà accepté pour les signalements de corruption mémoire, et la fin des primes en argent pour les vulnérabilités produit aux niveaux OT2 et OT3. Tom's Hardware et d'autres médias relient la suspension d'octobre à cette même vague de signalements générés par l'IA.

Le lien est donc plausible mais indirect : en mars, Google a décrit le problème, en octobre il a fermé la catégorie, et la page des règles ne trace aucune ligne entre les deux. Google n'a publié aucun chiffre : ni combien de signalements arrivent, ni quelle part est invalide, ni combien des invalides ont été produits avec un modèle. Une phrase attribuée à l'entreprise circule aussi, sur une forte hausse des envois automatisés, en grande majorité invalides : je n'ai pas pu la vérifier dans un texte intégral, car le message sur X exige une connexion, donc je la laisse hors du décompte des faits. Rappelons que ce contexte existe aussi hors de Google : en 2026, le projet curl a fermé son propre bug bounty, et la pression sur les mainteneurs open source n'est pas un sujet né à Mountain View.

Ce qui me frappe, c'est la forme de la décision : déclarée provisoire, avec une mise à jour promise d'ici le premier trimestre 2027. Google la présente comme temporaire, mais ne dit pas ce qui en sortira. En attendant, sauf l'exception des dépôts Google Cloud, le canal est fermé à ceux qui trouvent ces vulnérabilités à la main, et pendant les prochains mois on ne saura que ce que Google voudra bien raconter : sans chiffres publics, le seul moyen de juger si la suspension a fonctionné sera de lire la mise à jour que Google a promise pour le premier trimestre 2027.

— Olya