Intermédiaire·3 min·25 mai 2026

L'IA transforme la chasse aux bugs en course aux armements

🎧 Résumé audio0:00 / 0:00

Les modèles IA trouvent les bugs plus vite que les chercheurs ne peuvent les soumettre. Les règles du jeu changent.

Pourquoi ça compte pour toi

Si tu développes un produit, tu dois comprendre que la surface d'attaque s'élargit : les pirates IA, pas seulement les chercheurs bien intentionnés, identifient tes failles. Les délais de divulgation qu'on croyait stables depuis une décennie volent en éclats. Et les récompenses ? Elles explosent ou s'effondrent selon ta taille.

Ce qu'il faut retenir

1.Les IA trouvent 3x plus de bugs qu'avant, inondant les programmes de bug bounty de rapports (bons et mauvais)
2.Curl a fermé son programme en janvier : trop de faux positifs générés par IA. Linux doit modérer ses listes de signalement.
3.Les criminels utilisent maintenant l'IA pour créer des exploits zero-day (Google vient d'en observer un en avril 2024)
4.Le standard des 90 jours de divulgation responsable devient obsolète : les délais se compriment
5.Les vraies solutions ? Refondre l'architecture (« pas de correctif qui tienne », dit Niels Provos), pas juste crier plus fort

Tu galères avec le jargon ?

Lis la version réécrite en mode débutant — toutes les idées, sans le jargon.

Quand l'IA devient arbitre du jeu de la sécurité

Il y a dix ans, Apple payait $200 000 pour une faille trouvée. En 2019, c'était $1 million. Aujourd'hui ? Les montants explosent, mais pour de mauvaises raisons.

Les modèles IA ne se contentent pas de trouver les bugs. Ils en créent les exploits — les outils pour les exploiter. Résultat : Google, Apple, Microsoft reçoivent des milliers de rapports par mois. Mais voilà le piège : 80 % sont du bruit. Des faux positifs. Du spam de sécurité.

Joseph Thacker, chercheur indépendant qui utilise lui-même l'IA pour la chasse aux bugs, l'a prédit en avril : « Les grosses boîtes peuvent absorber le coup. Mais les PME ? Elles vont crever sous le volume. »

Le chaos des règles anciennes

Depuis 2010, l'industrie respectait un rituel : tu trouves une faille, tu as 90 jours pour la divulguer avant de la rendre publique. Ce délai laissait le temps aux développeurs de corriger.

Mais Himanshu Anand l'a bien résumé : « Le monde où les chasseurs de bugs étaient rares et le développement d'exploits lent n'existe plus. L'IA a comprimé les deux délais. »

Curl l'a compris à ses dépens. En janvier, le projet a fermé son programme de bounty après avoir été inondé de rapports générés par IA. Daniel Stenberg, son fondateur, notait en avril que la situation s'était inversée : fini le bruit, place aux vraies failles, trouvées avec l'aide de l'IA, mais à un rythme surhumain.

Linus Torvalds, créateur de Linux, a déclaré que sa liste de sécurité était devenue « pratiquement ingérable ».

Les pirates IA arrivent

C'est là que ça devient sérieux. Google a observé en avril des criminels utiliser l'IA pour découvrir et exploiter un zero-day (une faille jamais vue) sur un système d'administration open source. John Hultquist, analyste en chef des menaces chez Google, le confirmait : « Nous savions que ça arriverait. C'est notre première preuve tangible. »

Les criminels n'attendent plus les chercheurs. Ils créent leurs propres armes.

Comment vivre avec ça

Google a revu ses récompenses en avril : moins pour les bugs mineurs, plus pour les impacts réels. Les chercheurs du 90e percentile ? Ils continueront à gagner gros. Les autres ? À la porte.

Mais la vraie question, posée par Niels Provos, dans la sécurité depuis 25 ans : « Tu ne peux pas tout corriger. Il faut construire une infrastructure qui rend les bugs sans conséquence. »

En clair : concevoir tes systèmes de façon qu'une faille de mémoire ou d'authentification ne puisse pas être exploitée, même si elle existe.

C'est moins spectaculaire que les chasses aux bugs. Mais c'est la seule issue à long terme.

Et concrètement pour toi ?

Choisis ton profil — la lecture de l'article change selon qui tu es.

🔭 Curieux

Pour toi, comprends que la « divulgation responsable » des 20 dernières années reposait sur un équilibre humain : quelques chercheurs trouvent une faille, signalent discrètement, attendre le patch. L'IA détruit cet équilibre. Les règles du jeu redeviennent sauvages—comme aux débuts d'Internet.

Source