Depuis le 1er octobre 2026, Google a mis en pause son programme OSS VRP (Open Source Software Vulnerability Rewards Program). Les nouvelles soumissions au programme général ne sont plus acceptées. En revanche, les dossiers déjà ouverts avant cette date suivent leur cours normal, et les rapports liés à la sécurité de la chaîne d’approvisionnement logicielle (supply chain) restent acceptés. La cause officielle : une hausse significative de soumissions automatisées dont la grande majorité ne sont pas valides. Un point de situation est annoncé pour le premier trimestre 2027.
Le signal noyé sous le bruit
Google a décrit la situation en termes explicites : les soumissions automatisées générées par IA ont atteint un volume tel que les rapports valides deviennent difficiles à isoler dans le flux entrant. Ce n’est pas un problème de pertinence du programme lui-même, mais un problème de triage : quand une grande majorité des rapports reçus ne correspondent à aucune faille réelle, le coût humain de l’analyse augmente sans que la valeur produite suive. Le programme devient opérationnellement dégradé.
Les outils de génération automatisée de texte permettent de produire des rapports de vulnérabilité qui ressemblent formellement à de vraies soumissions, sans en avoir le contenu vérifiable. La tension entre accessibilité de ces outils et fiabilité d’un programme de divulgation responsable est directement visible ici : plus les rapports sont faciles à générer en masse, plus le signal utile se dilue.
Ce que ça change selon votre situation
- Votre dossier est déjà ouvert avant le 1er octobre 2026 : aucun impact. Le traitement suit son cours normal et la suspension ne s’applique pas rétroactivement aux soumissions existantes.
- Votre rapport concerne la supply chain : vous pouvez continuer à soumettre. Cette catégorie est explicitement exclue de la suspension.
- Vous envisagiez une nouvelle soumission au programme général : elle ne peut pas être déposée pour l’instant. La fenêtre est fermée jusqu’à nouvel ordre, avec le T1 2027 comme seule échéance officielle communiquée.
Ce qu’on sait de la suite
Google a annoncé un point de situation au premier trimestre 2027, sans préciser la forme ni le contenu de cette communication. Aucune date de reprise effective n’a été indiquée, et aucune mesure technique envisagée pour filtrer les soumissions générées par IA n’a été détaillée publiquement à ce stade.
Pour rappel, l’OSS VRP avait été lancé en août 2022 pour récompenser la découverte de failles dans les projets open source critiques que Google utilise ou maintient. Les récompenses démarraient à 100 dollars (valeur issue des annonces du programme à son lancement, relayée par plusieurs sources dont BleepingComputer et The Hacker News). Le plafond des récompenses et la liste complète des projets éligibles ne figurent pas dans les informations disponibles à ce jour.
Si vous avez un dossier en cours, vérifiez son statut directement sur le site du programme. Dans tous les autres cas, la prochaine action utile est de surveiller les communications officielles de l’OSS VRP au premier trimestre 2027 : c’est le seul horizon confirmé pour savoir si et comment le programme reprend.