Imaginez un jeu de whack-a-mole où les taupes se reproduisent plus vite que vous ne pouvez frapper. C’est à peu près ce que vivent aujourd’hui les équipes de sécurité informatique. Le bug bounty et l’IA forment désormais un tandem explosif — au sens propre. L’intelligence artificielle a radicalement changé la donne pour les chercheurs en vulnérabilités, mais aussi, et c’est là que ça devient vraiment inquiétant, pour ceux qui cherchent à exploiter ces failles plutôt qu’à les corriger.
Le modèle bug bounty, victime de son propre succès.
Pendant des années, les programmes de récompenses pour la détection de vulnérabilités ont représenté un équilibre fragile mais fonctionnel. Apple a lancé le sien en 2016 avec une prime maximale de 200 000 dollars — une somme déjà significative. En 2019, le plafond grimpait à 1 million. En 2024, il atteignait 2 millions. Ce n’était pas de la générosité : c’était la reconnaissance d’un marché. Trouver une faille sérieuse demandait du temps, de l’expertise, une vraie rareté humaine.
L’IA a cassé cette asymétrie. Un chercheur indépendant comme Joseph Thacker, qui a développé ses propres méthodes de chasse aux bugs assistée par IA, estime qu’il soumet environ trois fois plus de vulnérabilités qu’à la même période l’an dernier. Les géants tech comme Google pourraient voir leurs dépenses en bug bounty multipliées par deux à dix selon ses estimations. Ce qui paraissait une aubaine pour les chercheurs est en train de se transformer en casse-tête pour les organisations.
Le projet Curl a quitté HackerOne fin janvier 2026 après avoir été submergé de signalements générés par IA — majoritairement du bruit, de la fausse piste, du remplissage. En mars 2026, c’est l’Internet Bug Bounty, programme de référence actif depuis 2012, qui a carrément suspendu les nouvelles soumissions, incapable d’absorber le volume. Linus Torvalds himself a déclaré que la liste de sécurité Linux était devenue « presque entièrement ingérable » à cause des doublons et rapports IA.
Quand les attaquants jouent dans la même cour.
Le problème ne se limite pas à des chercheurs bien intentionnés qui noient les équipes sous des rapports de qualité inégale. L’IA équipe aussi les attaquants, et là, les enjeux changent d’échelle. En mai 2026, les chercheurs de Google ont observé des acteurs cybercriminels — qualifiés de « prominent cyber crime threat actors » — qui avaient utilisé des outils IA pour développer un zero-day visant à contourner la double authentification d’une plateforme d’administration open source.
Un zero-day. Développé par des criminels. Via IA.
John Hultquist, analyste en chef du Google Threat Intelligence Group, a mis le doigt dessus clairement : « Nous supposions tous que cela se produisait déjà. C’est notre première preuve que c’est bien le cas. » Le point critique, c’est que les acteurs criminels représentent la très grande majorité des incidents de sécurité, bien au-delà des États-nations qui concentrent l’attention médiatique. Si les zero-days, jusqu’ici relativement rares dans l’arsenal criminel, deviennent accessibles via IA, le paysage de la menace change structurellement.
C’est aussi ce que résume sobrement le chercheur Himanshu Anand : le délai de 90 jours pour la divulgation responsable des vulnérabilités — une norme durement acquise — a été conçu pour un monde où la détection était rare et le développement d’exploits lent. Ce monde n’existe plus.
Bug bounty et IA : vers une réponse structurelle.
Face à cette accélération, les organisations commencent à réagir — pas toujours de manière coordonnée. Google a refondu ses Vulnerability Reward Programs pour Chrome et Android fin avril 2026, ajustant les récompenses à la hausse pour les vulnérabilités les plus difficiles à trouver, à la baisse pour les classes plus communes. Anthropic a lancé son propre programme HackerOne pour ses systèmes et ses modèles Claude. OpenAI a ouvert en mars 2026 un Safety Bug Bounty spécifiquement orienté IA, avec des primes jusqu’à 20 000 dollars pour les injections de prompts et détournements d’algorithmes.
Ces initiatives montrent que le secteur s’adapte. Mais pour certains experts, colmater les brèches une par une est une stratégie de perdant à long terme. C’est ce que souligne Niels Provos, ingénieur sécurité de longue date : « On ne peut pas s’en sortir par des patchs. Il faut construire une infrastructure qui rende autant de bugs que possible sans importance. » Même son de cloche du côté des tenants de l’architecture Zero Trust — un modèle de sécurité informatique qui suppose par défaut qu’aucune entité n’est de confiance, réduisant mécaniquement la surface exploitable.
Ce n’est pas un hasard si les agents IA autonomes sont eux-mêmes au cœur du débat sécurité. Le CERT-FR a d’ailleurs mis en garde contre un déploiement non maîtrisé de ces systèmes, pointant des risques spécifiques aux agents IA dans les environnements d’entreprise — des vecteurs d’attaque qui n’existaient tout simplement pas il y a deux ans.
Ce que ça change pour vous.
Concrètement, si vous pilotez une DSI, une équipe produit ou simplement un SI avec des dépendances logicielles — et c’est le cas de tout le monde — plusieurs conclusions s’imposent. La fenêtre de remédiation va se réduire. Les attaquants trouvent plus vite, les correctifs doivent suivre. Les programmes de bug bounty ne sont plus suffisants seuls : ils doivent s’inscrire dans une stratégie de sécurité plus large, avec une réflexion architecturale sur la résilience par conception.
La bonne nouvelle, si on peut appeler ça ainsi, c’est que l’IA aide autant les défenseurs que les attaquants — pour l’instant. Mais cet équilibre n’est pas garanti. Le chercheur Jonathan Dunn, cardiologue reconverti en chasseur de bugs, formule peut-être la vraie question : comment inciter les chercheurs éthiques à continuer à investir leur temps sur des systèmes critiques, alors que le modèle économique des bug bounties montre ses limites ?
La course aux armements est lancée. La question, c’est de quel côté les meilleures IA vont finir par pencher.
