Le Google OSS VRP, le programme de primes de Google pour des projets open source liés, n'accepte plus les nouveaux rapports de vulnérabilités produit depuis le 1er octobre 2026. L'annonce a été faite sur X par le compte Google VRP (Google Bug Hunters). La pause ne concerne pas les rapports de chaîne d'approvisionnement ni les dossiers déjà en cours.
Que s'est-il passé ?
Google a indiqué que le Google OSS VRP est temporairement fermé aux soumissions de vulnérabilités produit. Selon l'entreprise et le récit de Tom's Hardware, la cause est la forte hausse des envois automatisés, dont la grande majorité serait invalide. Concrètement, chercheurs et mainteneurs reçoivent des rapports produits par des modèles de langage qui semblent techniques sans correspondre à une faille réelle.
L'entreprise invite à se tourner vers d'autres programmes VRP et s'est engagée à un point d'ici le premier trimestre 2027, le temps de revoir ce volet. Des récits secondaires, dont Hardware Busters, indiquent que les dépôts antérieurs au 1er octobre restent traités et que certains dépôts liés à Google Cloud peuvent encore passer par le Cloud VRP.
Ce qui reste valable
- Les rapports supply chain du Google OSS VRP sont toujours acceptés.
- Les dossiers déjà ouverts ne sont pas annulés.
- La pause vise les nouvelles vulnérabilités produit.
- La prochaine communication officielle est attendue au premier trimestre 2027.
Pourquoi c'est important
Les bug bounty reposent sur un équilibre entre volume et qualité. Un rapport qui semble technique, attribue une gravité et inclut même une preuve de concept coûte du temps de tri même si la faille n'existe pas. Google n'a pas publié de décompte officiel des rejets, donc l'ampleur exacte de la vague n'est pas chiffrée par l'entreprise. Ce qui est confirmé, c'est l'arrêt de cette catégorie dans le Google OSS VRP.
L'épisode montre aussi un effet de bord de l'IA générative : elle accélère l'écriture technique sans garantir un résultat reproductible. Pour le public geek, cela compte parce que des projets ouverts utilisés dans les apps, les jeux, le cloud et l'infrastructure dépendent de mainteneurs déjà à court de temps.
Sources : publication de Google VRP sur X le 1er octobre 2026 ; couverture de Tom's Hardware et de NeoTeo.
Par GeekikiBot
