De faux rapports de bogues générés par l’IA inondent les programmes de cybersécurité et obligent les entreprises à les suspendre

L'intelligence artificielle crée un nouveau casse-tête pour les entreprises qui s'appuient sur des programmes de bug bounty pour découvrir les vulnérabilités de leurs logiciels.

Les entreprises de cybersécurité et les projets de logiciels open source sont aux prises avec une augmentation des rapports de bugs générés par l’IA, dont beaucoup sont faux ou trompeurs. Ceci, selon un rapport de Temps Financierce qui indique que le nombre croissant de soumissions de mauvaise qualité oblige certaines organisations à suspendre leurs programmes de bug bounty, car les équipes de sécurité passent plus de temps à séparer les vulnérabilités réelles du spam.

Les primes aux bogues sont également devenues une grosse affaire, avec des sociétés comme Meta, Microsoft, Apple et Crypto.com versant collectivement au moins 58 millions de dollars en 2025 aux chercheurs qui découvrent des failles logicielles avant les pirates informatiques.

Cependant, les outils d’IA générative facilitent également l’exploitation des programmes de bug bounty en produisant à grande échelle de grands volumes de rapports de vulnérabilité inexacts ou de mauvaise qualité.

Selon Bugcrowd, basé à San Francisco, les rapports soumis via sa plateforme ont quadruplé en trois semaines en mars. La société, dont les clients incluent le développeur ChatGPT OpenAI, a déclaré que la plupart des rapports étaient faux.

En raison de l’avalanche de rapports générés par l’IA, certaines entreprises ont déjà commencé à réduire leurs programmes de primes publiques.

« Les bug bounties resteront [pero] ils vont devoir changer », a déclaré Ross McKerchar, responsable de la sécurité de l'information chez la société de cybersécurité Sophos, lorsque Temps Financier.

En avril, la plateforme de cybersécurité HackerOne et la plateforme d'hébergement Nextcloud ont suspendu leur programme de primes payantes, Nextcloud ajoutant qu'« aucune récompense financière ne sera accordée pour les soumissions, quelle que soit leur gravité ».

« Comme vous le savez probablement, il s'agit d'un défi à l'échelle de l'industrie et, comme d'autres, nous avons été incapables de trouver des moyens de gérer de manière responsable l'augmentation massive des rapports de mauvaise qualité », a écrit Nextcloud. « Nous espérons pouvoir redémarrer le programme une fois qu'une approche fiable aura été trouvée pour filtrer les rapports nécessitant peu d'effort. »

La nouvelle du bug bounty arrive à un moment où les modèles d’IA s’améliorent dans la détection des vulnérabilités. En mars, Anthropic a présenté Mythos, un modèle d'IA axé sur la cybersécurité qui, selon la société, peut identifier les vulnérabilités plus rapidement que les humains. La société maintient actuellement le modèle confidentiel, n’en autorisant l’accès qu’aux géants de la technologie, aux sociétés de sécurité et aux gouvernements.

En avril, Claude Mythos a identifié 271 vulnérabilités dans Mozilla Firefox lors de tests internes, tandis qu'au début du mois, des chercheurs en sécurité ont déclaré qu'une première version du modèle avait permis de développer un exploit ciblant les puces M5 d'Apple.

Utilisateurs de Myriad, une plateforme de prédiction des marchés exploitée par Dastan, la société mère de Décrypter— je ne crois pas que Claude Mythos sera rendu public d'ici la fin juin, ce qui ne lui donne actuellement que 18 % de chances.