Imaginez un métier où l'on vous paie pour trouver les erreurs des autres. C'est le quotidien des chasseurs de bugs, les "bug hunters" en anglais. Ces chercheurs en sécurité, qu'on appelle aussi "hackers éthiques" ou "white hats", passent les logiciels au peigne fin pour y débusquer des failles. Ce qui les distingue des pirates ? Plutôt que d'exploiter une brèche, ils la signalent discrètement à l'entreprise concernée. Celle-ci peut alors la corriger avant qu'elle ne soit exploitée.

Le job est aussi utile socialement que rémunérateur avec un  système de prime : c'est le principe du "bug bounty". Le montant dépend de la dangerosité de la faille, mais certaines récompenses peuvent atteindre des sommes rondelettes, dépassant parfois les 100 000 dollars. En 2023, Google avait ainsi versé 10 millions de dollars à plus de 600 chasseurs de bugs répartis dans 68 pays. Microsoft a annoncé en août avoir distribué plus de 20 millions de dollars à 562 chercheurs entre juillet 2025 et juin 2026, un record.

Il faut dire que l'intelligence artificielle a fait bondir le nombre de signalements. En juillet, OpenAI et Anthropic ont découvert des bugs dans iOS, le système d'exploitation des iPhone, grâce à leurs outils automatisés. Ces failles ont depuis été corrigées. Mais la médaille a son revers. Avec l'IA, n'importe qui peut désormais se plonger dans les méandres d'un programme informatique et rédiger un rapport, sans vraiment s'y connaître. Beaucoup de ces documents sont de mauvaise qualité, faux ou truffés d'"hallucinations".

Plusieurs acteurs ont déjà jeté l'éponge. En janvier, cURL, un utilitaire libre de transfert de données, a suspendu son programme de bug bounty pour décourager les rapports bâclés. En mai, Linus Torvalds, le fondateur de Linux, dénonçait une "agitation totalement inutile". Selon lui, l'afflux de signalements générés par IA avait rendu presque ingérable certains programmes de sécurité de Linux. En juin, Apple a à son tour restreint son programme, en limitant le nombre de rapports possibles chaque mois. Intel, lui, a supprimé toutes ses primes, sans donner de raison.

Depuis le 1er octobre 2026, Google n'accepte plus les signalements de failles "produit" dans son Open Source Software Vulnerability Rewards Program (OSS VRP). Des failles qui touchent le code même de ses logiciels open source. Le géant explique avoir reçu de plus en plus de soumissions automatiques, et précise que "la vaste majorité d'entre elles n'étaient pas correctes".

Lancé en août 2022, ce programme versait des primes allant de 100 dollars à plusieurs dizaines de milliers. Il récompensait les chercheurs capables de repérer des failles dans le langage de programmation Go, le framework Angular et bien d'autres technologies majeures dans le développement logiciel et les systèmes informatiques modernes.

La porte n'est pas entièrement fermée. Les signalements qui portent sur la chaîne d'approvisionnement logicielle restent acceptés, autrement dit les briques de code réutilisées par une multitude d'autres projets. Les rapports déjà en cours de traitement ne sont pas non plus affectés. Google renvoie aussi les chercheurs vers son Patch Rewards Program, qui récompense non pas la découverte d'une faille mais la proposition d'un correctif.

La pause doit durer au moins six mois, le temps pour Google de procéder à des ajustements. L'entreprise n'a pas donné de date exacte de réouverture, mais elle promet de nouvelles règles au début de l'année 2027. Elle n'a pas encore détaillé les changements prévus pour empêcher le problème de se reproduire.