Google suspend son programme bug bounty, victime du spam IA

Quand l'IA devient le problème au lieu de la solution

Google vient de suspendre son programme de récompenses consacré aux failles de sécurité dans ses logiciels open source. La raison ? Un déluge de rapports générés automatiquement par des intelligences artificielles, selon *Numerama*. Le géant américain, qui versait des primes aux chercheurs en sécurité découvrant des vulnérabilités, ne peut plus trier le vrai du faux dans cette masse de soumissions automatisées.

Ce programme, appelé « bug bounty » dans le jargon tech, permettait à des développeurs du monde entier de signaler des failles et d'être rémunérés en retour. C'était un mécanisme gagnant-gagnant : Google améliorait la sécurité de ses outils, et les chercheurs recevaient une reconnaissance financière pour leur travail. Mais l'arrivée massive d'outils d'IA capables de scanner du code et générer des rapports a changé la donne.

Un spam technique qui paralyse la sécurité

Le problème n'est pas que l'IA détecte trop de failles, mais qu'elle génère trop de faux positifs ou de rapports de mauvaise qualité. Les équipes de Google doivent désormais passer un temps considérable à vérifier chaque soumission automatique, ce qui ralentit le traitement des vraies vulnérabilités signalées par des humains. La suspension est présentée comme temporaire, le temps de trouver une solution pour filtrer efficacement ces rapports automatisés.

Cette situation révèle une ironie : l'intelligence artificielle, souvent présentée comme un allié de la cybersécurité, crée ici une vulnérabilité d'un autre type, une faille dans la gouvernance et les processus. Quand les outils de détection deviennent eux-mêmes une nuisance, c'est toute la chaîne de sécurité qui se grippe.

Pourquoi c'est important, surtout pour l'écosystème open source

Cette décision de Google a des répercussions au-delà de la Silicon Valley. Les logiciels open source concernés par ce programme sont utilisés partout dans le monde, y compris en Afrique où de nombreux développeurs et entreprises s'appuient sur ces outils libres pour construire leurs applications et services. Si les failles ne sont plus signalées et corrigées rapidement, ce sont tous les utilisateurs de ces logiciels qui deviennent plus vulnérables.

L'épisode soulève aussi une question de fond : comment maintenir des mécanismes de sécurité efficaces quand l'IA permet de les inonder à moindre coût ? Pour les développeurs africains qui contribuent à l'open source ou en dépendent, l'enjeu est de taille. Il faudra sans doute inventer de nouveaux systèmes de vérification, peut-être en combinant intelligence artificielle et expertise humaine, pour séparer le signal du bruit.

En attendant, Google doit trouver comment rouvrir ce canal essentiel sans se laisser submerger. La tech, décidément, n'en finit pas de devoir corriger les effets de bord de ses propres innovations.