Le programmeur suédois Daniel Stenberg gère cURL, la bibliothèque qui alimente le transfert de données de milliards d'appareils, des routeurs aux micrologiciels des voitures, depuis près de trente ans. Au cours des deux dernières années, la majeure partie de son temps de travail a été consacrée à l'analyse de rapports de vulnérabilité rédigés par un réseau neuronal pour un autre pirate informatique. Les rapports semblaient convaincants, mais, en règle générale, ils ne contenaient aucune vulnérabilité. En janvier 2026, Stenberg a annoncé la fermeture du programme de bug bounty sur HackerOne. Cela a été suivi par Nextcloud en avril.
ForkLog a compris comment le modèle habituel sur lequel reposait l'industrie de la cybersécurité était en train de se briser et dans quelle mesure ce processus affecterait d'autres segments de l'économie.
Slop a gagné
Les bug bounties cURL et Nextcloud fonctionnaient selon un schéma simple : vous trouvez une vulnérabilité, la signalez au fournisseur et recevez une récompense. L'économie reposait sur le fait que la recherche de vulnérabilités est un travail rare et qualifié, ce qui fait que le flux de candidatures est naturellement limité par le nombre de personnes capables de le faire. Les modèles d’IA avancés ont réussi à supprimer cette limitation en quelques mois.
Le directeur technique de la société de cybersécurité Minimus, John Morello, dans un commentaire pour des publications industrielles, a cité un chiffre qui démontre les conséquences de la croissance de la pente de l'IA dans la cybersécurité :
« La proportion de demandes authentiques est passée d’environ 15 % à moins de 5 %. »
Le reste est constitué de rapports plausibles sans vulnérabilités réelles, que le réseau neuronal génère plus rapidement que l’analyste ne peut les rejeter.
Dans les nouvelles réalités, Ross McKerchar, directeur de la sécurité des informations de Sophos, a divisé le marché de la recherche de vulnérabilités en trois types de candidats :
- les débutants exécutant du code via un modèle d'IA et envoyant le résultat sans vérifier si la vulnérabilité à laquelle ils sont confrontés est réelle ou une hallucination ;
- des chercheurs expérimentés qui sont induits en erreur par les agents d'IA eux-mêmes : le réseau neuronal signale de manière convaincante un problème qu'il a découvert et qui n'existe pas, et la personne lui fait confiance ;
- des équipes (le type le plus systématique) qui ont construit un pipeline d'applications de masse à partir d'agents IA, conçu pour le volume et non pour la précision.
En juillet 2025, la plus grande plateforme de primes du marché, HackerOne, a annoncé Hai Triage, un système basé sur l'IA qui devrait filtrer les applications générées avant qu'elles ne parviennent à un analyste en direct.
En mars 2026, la plateforme Bugcrowd a mis en œuvre une réforme majeure pour lutter contre l’afflux de bugs d’IA. Une vérification d'identité obligatoire, une limite dynamique de la fréquence d'envoi des candidatures et des CAPTCHA, ainsi que des règles de blocage strictes ont été introduites : d'une suspension de compte de 30 jours pour 10 rapports rejetés d'affilée à une interdiction permanente pour le spam automatisé et la diffusion de fausses vulnérabilités.
Dans ce contexte, la décision de cURL et Nextcloud ne ressemble pas à une capitulation, mais à une réponse rationnelle à une économie qui a cessé de fonctionner.
Il n'y a pas de retour en arrière
L’ampleur du problème est devenue claire après l’expérience Anthropic.
En avril, la société a présenté Claude Mythos 5, un modèle capable de détecter de manière autonome les vulnérabilités du jour zéro et d'écrire de manière indépendante des exploits fonctionnels pour celles-ci. Ensuite, avec une cinquantaine de partenaires, Anthropic a lancé le projet Glasswing – test de logiciels critiques utilisant les forces de cette technologie. LLM.
Les résultats obtenus se sont révélés nettement meilleurs que les prévisions données par l'industrie pour les années à venir.
Parmi plus d'un millier scannés Système d'exploitation-projets, le modèle a identifié 23 019 problèmes potentiels, dont 6 202 ont été classés comme prioritaires ou critiques. Des sociétés indépendantes ont vérifié un échantillon de 1 752 résultats – plus de 90 % ont été confirmés comme étant de réelles vulnérabilités. Au cours des premières semaines de travail, Anthropic et ses partenaires ont découvert plus de dix mille failles de haut niveau et de niveau critique dans des logiciels d'importance systémique.
De cet ensemble, les spécialistes ont réussi à corriger moins de 1 %.
Cette « efficacité » a provoqué la crise. Les vulnérabilités du code ont toujours existé ; leur nombre en termes absolus n'est pas la principale nouveauté. La nouvelle est que pour la première fois dans l’histoire de l’industrie du logiciel, la vitesse de découverte est inférieure à la vitesse à laquelle les équipes de spécialistes sont capables de vérifier, hiérarchiser et corriger une découverte.
L'étendue des capacités de Mythos 5 est illustrée par trois vulnérabilités :
- 27 ans chez OpenBSD (considéré comme l'un des OS les plus sécurisés), permettant de planter à distance n'importe quel serveur basé sur ce système ;
- 16 ans dans FFmpeg, la technologie vidéo utilisée par Netflix et les navigateurs. Cinq millions de tests automatisés n’ont pas réussi à le détecter ;
- une chaîne dans le noyau Linux qui donne à un attaquant le contrôle total d'un périphérique.
En raison de ces résultats, ni Claude Mythos 5 ni le modèle similaire GPT-5.5-Cyber d'OpenAI n'ont encore reçu de version publique. Avant de lancer un outil capable de détecter les vulnérabilités plus rapidement que n'importe quel humain, l'industrie doit avoir le temps de combler au moins certaines des failles découvertes par le réseau neuronal en mode test.
À l’heure actuelle, une tendance se dessine qui s’étendra probablement bien au-delà de la cybersécurité dans les années à venir. L'IA accélère radicalement la production – code, contenu, documents juridiques et, dans ce cas, vulnérabilités, mais ne réduit pas le coût de quoi que ce soit à l'autre bout de la chaîne – là où la découverte doit être vérifiée, le correctif testé et publié sans risque d'arrêt de la production.
Demande d'exclusivité
L'AI Slop a fait tomber l'ancienne économie des bug bounty : des rapports superficiels en masse ont dévalorisé de simples vulnérabilités, et l'argent afflue rapidement vers des exploits complexes, rares et confirmés.
En mai, Google a abaissé les récompenses de base pour les bogues de mémoire dans Chrome à 500 $ et a éliminé les bonus pour les simples bogues de lecture/écriture. Pour retenir les meilleurs chercheurs, les géants de la technologie doivent payer des primes sans précédent pour le taillé. Preuve de concept:
- en octobre 2025, Apple a augmenté le plafond de l'accès caché au noyau iOS de 1 million de dollars à 2 millions de dollars. Si une vulnérabilité est découverte dans les versions bêta du logiciel, le paiement total d'un rapport, prenant en compte tous les paiements supplémentaires et contournant le mode de verrouillage, peut atteindre 5 millions de dollars ;
- en août 2025, Microsoft a lancé un concours Zero Day Quest à grande échelle pour 5 millions de dollars, introduisant un multiplicateur de 100 % pour le piratage de l'infrastructure Copilot et Azure AI ;
- en mai 2026, Google a augmenté la récompense pour zéro-clic exploit avec fixation dans la puce Titan M (Pixel) jusqu'à 1,5 million de dollars. A titre de comparaison : en avril, le bonus était de 1 million de dollars.
Cette générosité des géants de l’informatique n’est pas de la charité, mais une défense forcée contre le marché fantôme des courtiers privés comme Crowdfense et Operation Zero. Ces sociétés offrent jusqu'à 7 millions de dollars pour une chaîne d'attaque complète pour les versions actuelles d'iOS ou d'Android.
En conséquence, tous les acteurs du marché des vulnérabilités recherchent aujourd’hui un petit groupe d’ingénieurs dont la capacité à assembler manuellement des exploits complexes vaut des millions dans un contexte d’automatisation bon marché.
Ce n'est que le début
L'industrie n'a pas eu le temps de s'adapter progressivement au nouveau rythme de découverte de failles – les régulateurs ne l'ont pas quittée.
Le 11 septembre 2026 entrera en vigueur l'une des dispositions les plus exigeantes de l'UE – la loi sur la cyber-résilience – la déclaration obligatoire des incidents et des vulnérabilités. À partir de ce jour, toute entreprise vendant des produits connectés sur le marché européen, quel que soit son enregistrement physique, est tenue de signaler les bugs activement exploités. Les candidatures doivent être envoyées à des organismes spéciaux dans les 24 heures suivant la découverte. L'amende en cas de non-conformité peut aller jusqu'à 15 millions d'euros ou 2,5 % du chiffre d'affaires annuel mondial de l'entreprise, le montant le plus élevé étant retenu.
La loi oblige les fournisseurs à maintenir un canal fonctionnel pour recevoir et traiter les rapports de vulnérabilités – le mécanisme même qui étouffe lors de l'explosion de l'IA. Si cURL pouvait se permettre de fermer le bug bounty, en s'appuyant sur une communauté active de bénévoles, alors une société vendant des logiciels dans l'UE n'aurait pas une telle option. Et c'est la première partie du problème.
La seconde est l’asymétrie entre attaque et défense, qui croît plus vite que les scénarios les plus pessimistes. Le délai entre la découverte d’une vulnérabilité et son exploitation, autrefois mesuré en semaines et en mois, peut désormais se réduire à quelques minutes.
Le problème ne se limite pas aux meilleurs LLM : la société de cybersécurité IA Aisle a montré qu'elle pouvait reproduire les découvertes d'Anthropic sur des modèles beaucoup plus anciens et moins chers.
Au cours de l'expérience, les chercheurs ont isolé un morceau de code spécifique présentant des vulnérabilités à partir des démos d'Anthropic et l'ont exécuté sur de petits modèles ouverts, y compris des modèles compacts avec 3,6 à 5,1 milliards de paramètres actifs.
En conséquence, avec le contexte approprié et un support approprié (scripts basés sur des agents, vérification parallèle), même les réseaux neuronaux peu coûteux ont réussi à détecter les vulnérabilités clés, y compris les découvertes du niveau CVE-2026-4747 provenant de cas anthropiques.
Le problème risque de toucher le plus durement les logiciels open source dans un avenir proche. Mythos 5 a déjà découvert des milliers de vulnérabilités de haut niveau dans tous les principaux systèmes d'exploitation et navigateurs échantillonnés. Au rythme actuel des progrès de l’IA, ces capacités vont se généraliser, y compris parmi les acteurs non liés par des obligations de « divulgation responsable ». Les développeurs sans service juridique et sans budget pour les correctifs à l’échelle industrielle seront les premiers à être mis sous pression.
Les programmes de bug bounty, les réglementations et la structure de l’industrie de la cybersécurité ont été conçus pour un monde où la détection était une préoccupation majeure. Ce monde a pris fin en avril 2026. Nouveau chas de l'aiguille : vérification, priorisation et correctifs. Et qui comblera cet écart est une question à laquelle ni les fournisseurs ni les régulateurs n’ont encore répondu.
La crise de la cybersécurité est le premier symptôme visible d’un changement plus fondamental : l’IA produit des découvertes à une échelle inimaginable il y a trois ans, et les humains restent le seul maillon capable de vérifier ces découvertes et de les transformer en vulnérabilités fermées. Des dynamiques similaires sont déjà visibles dans la jurisprudence, où les réseaux neuronaux génèrent des projets de réclamations et de contrats plus rapidement que les avocats ne peuvent les lire, et dans la production de contenu, où il n'y a pas suffisamment de ressources pour modérer et vérifier les énormes volumes d'informations générées.
Dans tous les domaines, une division du travail se dessine entre humains et machines : l’IA produit un produit – code, documents, textes. Le spécialiste se retrouve avec quelque chose qui ne peut pas être étendu spontanément : la responsabilité de la qualité.
Voir l’article original en russe