Le développeur de cURL cesse de payer pour les vulnérabilités à cause du spam d'IA

Le développeur de cURL, utilitaire très répandu présent dans pratiquement toutes les distributions Linux, ainsi que sous macOS et Windows, a annoncé la fin du programme Bug Bounty en place depuis 2019. La raison est simple et révélatrice : l'équipe de développement n'a tout simplement pas pu faire face au flot de rapports d'erreurs inutiles, générés par intelligence artificielle et envoyés par des chasseurs de primes.

Un programme Bug Bounty, ou programme de récompense pour les bogues découverts, est une pratique courante dans le développement de logiciels open source. Il permet de faire appel à des chercheurs en sécurité externes pour traquer les vulnérabilités dans le code, et ils reçoivent en échange une récompense financière. C'est avantageux pour les développeurs, qui peuvent améliorer la sécurité de leur produit, comme pour les chercheurs, qui peuvent gagner de l'argent grâce à leurs connaissances.

Pour cURL, cependant, la situation a échappé à tout contrôle. Avec les progrès de l'intelligence artificielle, il est devenu possible d'automatiser la recherche de vulnérabilités. Des participants peu scrupuleux du programme Bug Bounty se sont mis à utiliser l'IA pour produire d'énormes quantités de rapports d'erreurs, dont la plupart se sont révélés faux ou insignifiants. Examiner ces rapports a mobilisé énormément de temps et de ressources de l'équipe de cURL et a rendu le programme Bug Bounty non rentable.

Ce cas soulève des questions importantes sur l'avenir des programmes Bug Bounty à l'ère de l'intelligence artificielle. D'un côté, l'IA peut être un outil utile pour automatiser la recherche de vulnérabilités et rendre les chercheurs en sécurité plus efficaces. De l'autre, elle peut aussi être détournée, comme cela s'est produit avec cURL. Les développeurs doivent adapter leurs programmes Bug Bounty aux nouvelles réalités pour éviter que de telles situations se reproduisent. Il faudra peut-être instaurer des critères plus stricts pour sélectionner les rapports d'erreurs et recourir à leurs propres outils d'IA pour filtrer les faux positifs.

L'arrêt du programme Bug Bounty de cURL peut avoir des conséquences négatives sur la sécurité de l'utilitaire. Moins de chercheurs en sécurité indépendants à la recherche de vulnérabilités, c'est le risque que certaines failles graves passent inaperçues. À terme, cela peut accroître le risque d'attaques contre les systèmes qui utilisent cURL.

Cet incident montre que le développement de l'IA crée de nouveaux défis pour l'industrie de la sécurité informatique. Les développeurs doivent y être préparés et adapter leurs méthodes de travail pour exploiter efficacement les capacités de l'IA et se protéger de ses menaces potentielles. Faute de quoi, nous pourrions nous retrouver dans une situation où l'IA, au lieu de renforcer la sécurité, contribuerait à l'affaiblir.