Google suspend sa prime aux failles, noyée sous de faux signalements écrits par IA
Google payait des chercheurs pour lui signaler des failles de sécurité. Les IA ont envoyé tant de signalements inventés que le programme est fermé jusqu’en 2027.
Depuis le 1er octobre, Google a mis en pause son programme de récompenses pour les failles trouvées dans les logiciels libres (des programmes dont le code est public et réutilisable par tous). Le principe était simple : toute personne qui découvrait une faille de sécurité et la signalait pouvait toucher une prime. Google explique la pause par « une forte hausse des envois automatisés, dont la grande majorité ne sont pas valables ».
Concrètement, des internautes ont demandé à des IA de fouiller du code et d’écrire des rapports en série, dans l’espoir de décrocher une prime. Beaucoup décrivaient des failles qui n’existent pas : l’IA les avait inventées (on parle d’hallucinations). Les ingénieurs de Google et les bénévoles qui entretiennent ces logiciels ont passé leur temps à vérifier du vide. Le programme ne rouvrira pas avant le premier trimestre 2027 ; les autres programmes de primes de Google restent ouverts.
Des experts en cybersécurité avaient prévenu dès l’été 2025 que les contenus de mauvaise qualité produits par IA menaçaient ce type de programme. Le risque dépasse Google : tout guichet ouvert au public, qu’il s’agisse d’un formulaire de contact, d’un service client ou d’un appel à candidatures, peut être inondé de la même façon dès qu’une récompense est en jeu.