Faut le voir pour le croire. Google paie des humains pour débusquer des failles dans ses logiciels open source. Sauf que depuis un moment, les rapports qui arrivent ne sont plus vraiment écrits par des gens qui ont trouvé quelque chose. La boîte a donc mis le programme en pause. Pas de grand communiqué ni de conférence de presse. Juste un robinet fermé, le temps de démêler le vrai du toc.
Le motif avancé, c’est une « hausse significative » des soumissions. Derrière le jargon : une déferlante de rapports pondus à la chaîne par des outils d’IA. Des pavés bien ficelés, syntaxe propre, numéros de CVE imaginaires, étapes de reproduction crédibles. Le genre de salade qu’un modèle te sort en trois secondes et qui te bouffe trois heures de tri.
Le principe de la prime, et son maillon faible
Le bug bounty repose sur une économie simple. Trouver une vraie faille, c’est chiant et ça prend du temps. Donc peu de gens s’y collent, donc ceux qui s’y collent méritent un chèque. Plus la recherche coûte cher, plus le signal reste propre. C’est valable pour toutes les primes à la découverte, de la faille logicielle au caillou intéressant.
L’IA vient de casser cette équation. Produire un rapport plausible ne coûte plus rien. Du coup le pipeline se transforme en exutoire à slop, et les programmes de récompenses, conçus pour absorber une poignée de candidatures sérieuses, se retrouvent à trier une marée de bruit.
Un bémol de rigueur : on n’a aucun chiffre. Google n’a rien détaillé, ni le volume, ni le pourcentage de rapports générés par machine. On sait juste que c’était assez pour suspendre. Le reste, c’est de la déduction.
La vraie facture, c’est le tri
Voilà le point que personne ne veut regarder en face. Quand une techno fait tomber à zéro le coût de production d’un contenu, quelqu’un hérite de la facture du nettoyage. Ici, ce sont les équipes sécurité de Google, obligées de jouer les videurs devant leur propre porte. Le même scénario se répète partout : les modèles crachent, l’humain ramasse.
C’est exactement ce qu’on racontait dans notre papier sur le mod Skyrim codé par un agent : faire produire du code à une IA, c’est fastoche. Le relire, c’est tout de suite moins drôle. Et là, on parle pas de quelques lignes de Lua pour un mod, mais de la sécurité des briques open source sur lesquelles tourne la moitié d’internet.
Le pire, c’est que l’ironie est parfaite. L’IA est censée être l’arme absolue pour dénicher des vulnérabilités plus vite que les humains. Sauf que dans les faits, elle déniche surtout le moyen de noyer ceux qui cherchent vraiment. Un outil de sécurité qui sabote le dispositif de sécurité. Chapeau.
Et ce n’est probablement que le début. Les HackerOne, Bugcrowd et compagnie vivent du même modèle économique. Si trier le slop coûte plus cher que ce qu’il rapporte, tout le système prend l’eau. Google a juste crié « stop » le premier.
La suspension est temporaire, dit-on. Le temps, surtout, de trouver un filtre qui marche. Mais un filtre à rapports IA, c’est le serpent qui se mord la queue à grande vitesse. Bonne chance pour distinguer un faux rapport généré par un modèle d’un vrai rapport écrit par un chercheur qui a, lui aussi, utilisé un modèle pour l’aider. À un moment, faudra peut-être envisager que le problème n’est pas les rapports, mais le fait qu’on a vendu à tout le monde un outil qui produit du plausible à volonté et qu’on s’étonne ensuite que le plausible soit partout.
Sources :
Comments are closed