AI Slop : Google met en pause son programme de bug bounty pour le logiciel libre

Depuis le 1er octobre 2026, Google a suspendu son programme de bug bounty dédié aux logiciels libres, appelé OSS VRP (Open Source Software Vulnerability Rewards Program). Ce programme, lancé en 2022, récompensait financièrement les personnes signalant des failles de sécurité dans des projets open source, avec des primes allant de 100 à 31 337 dollars selon la gravité du problème et l’importance du projet. L’objectif était de renforcer la sécurité des logiciels libres en identifiant des vulnérabilités critiques, comme celles liées à la chaîne d’approvisionnement ou à des erreurs de conception. Cependant, Google a décidé de mettre ce programme en pause en raison d’un afflux massif de signalements automatisés, souvent de mauvaise qualité, qui rendent le traitement des rapports inefficace.

Le problème principal rencontré par Google est une augmentation exponentielle des signalements automatisés générés par des intelligences artificielles, souvent appelés AI Slop. Ces rapports, peu pertinents ou même invalides, submergent les équipes chargées de les analyser. Google a expliqué dans un message publié sur X (ex-Twitter) que la majorité de ces signalements n’étaient pas exploitables, ce qui justifie la suspension temporaire du programme. L’entreprise précise qu’elle travaille à une solution et prévoit de faire un point sur la situation au premier trimestre 2027. Ce phénomène n’est pas isolé : Apple a connu une situation similaire durant l’été 2026, avec une explosion des rapports de bugs générés par IA.

Ce problème dépasse le cadre de Google. En janvier 2026, Daniel Stenberg, créateur du logiciel libre cURL, a annoncé la fin de son programme de bug bounty, officiellement clos le 31 janvier 2026. Il a décrit l’impact psychologique et logistique de cette submersion : les signalements de mauvaise qualité prennent un temps considérable à traiter et épuisent les équipes bénévoles. Stenberg a évoqué un gaspillage d’énergie et une démotivation croissante, soulignant que ces rapports automatisés sapent l’envie de contribuer à des projets open source. À l’inverse, le noyau Linux, géré notamment par Linus Torvalds, adopte une approche plus nuancée. Torvalds avait d’abord critiqué les rapports générés par IA, mais il a finalement changé d’avis, refusant de les rejeter systématiquement. Contrairement à Google, le noyau Linux ne propose pas de récompenses financières pour les signalements, ce qui limite l’attrait des soumissions automatisées.