Trouver une faille ne sert plus à rien si personne ne peut la lire

Sommaire

• Avant l’IA, chercher une faille, c’était un boulot d’humain fatigué
• Bug bounty Apple : l’IA n’a pas cassé la sécurité, elle a cassé la file d’attente
• Google avait déjà baissé le prix, trois mois plus tôt
• Chez Apple, deux règles, et une seule fait mal
• La vraie question n’est pas le tri, c’est la facture
• Va-t-on arrêter de chercher les failles ?
• Ce que ça change pour ton Chromebook
• Notes de bas de page
  • Partager :

Imagine la scène. Tu diriges une petite boîte de cybersécurité à Milan. Celle située en Italie, bien sûr. Parce que des Milan, il y en a une trentaine sur la planète, dont une quinzaine rien qu’aux États-Unis. L’Italie, elle, n’en a qu’une. Un petit pays comparé aux USA. Mais quand même celui de la pizza. Et là, la Silicon Valley à côté, est rien du tout. Vu la notoriété de la pizza. Revenons à cette boîte que tu diriges. Pendant trois semaines, tu passes le code d’Apple à la moulinette de ChatGPT. Tu ressors avec une cinquantaine de bugs potentiels. Dans le tas, une pépite : une faille critique d’élévation de privilèges sous macOS¹. Le genre de truc qui te fait dire « Oh purée… ». Ton patron estime qu’elle se revendrait entre 100 000 et 200 000 dollars sur le marché noir. Tu ouvres le portail du bug bounty Apple pour la signaler. Refus. Ton quota est plein. Saturé par tes propres signalements des jours précédents, tous moins importants que celui-là. Donc refus de le porter à la connaissance d’Apple. Ce n’est pas une fable. Ni sorti de mon imagination. C’est une histoire vraie. La boîte s’appelle Bynario, son dirigeant Alfredo Pesoli, et le Financial Times a sorti l’affaire le 2 août. Or elle raconte bien autre chose qu’un formulaire capricieux. Bien pire même. 

Avant l’IA, chercher une faille, c’était un boulot d’humain fatigué

Je plante le décor. Avant l’IA, la traque aux failles, c’étaient des humains. Avec des coups de mou. Des envies de café. Des fins de journée où on ne lit plus vraiment les lignes de code. On les survole en priant pour que ça passe. Apple avait bien sûr sa flotte de développeurs pour repasser derrière, comme tout éditeur qui se respecte. Sauf que ça n’a jamais suffi. Jamais. Alors la recherche s’est ouverte au privé. Des entreprises, comme celle de Milan en Italie. Et des particuliers, comme toi et moi. Ça porte un nom : le bug bounty.²

Et ça paye. Une faille trouvée, selon son importance, ça monte vite à six chiffres sur le chèque. Pour les chaînes d’exploit les plus sophistiquées, Apple affiche deux millions de dollars au compteur. Plus de cinq millions avec les bonus. Une économie s’est donc montée là-dessus. Pognon. Pognon. Puis l’IA est arrivée. C’est devenu du pognon facile à gagner. Car la machine, elle, analyse vingt-quatre heures sur vingt-quatre. Elle scrute. Ne se fatigue jamais. Elle n’a pas besoin de café, ni de vacances, ni d’un vendredi soir. Toi pendant ce temps, tu peux fumer le gros cigare. Elle bosse. Voilà le vrai basculement, et il tient en une phrase. Le coût de fabrication d’un rapport de faille vient de tomber à presque rien. Normal, si c’est une machine cela coûte moins cher qu’un humain. Pendant que le nombre de gens capables de le lire, lui, n’a pas bougé d’un pouce. Ou alors ils fument le gros cigare. 

Bug bounty Apple : l’IA n’a pas cassé la sécurité, elle a cassé la file d’attente

Alors Apple a tranché. Au-delà d’un certain quota de failles remontées, tu ne peux plus rien déposer. Terminé. La firme invoque « le volume croissant de rapports de sécurité générés par l’IA dans l’ensemble du secteur ».. Tu traduis avec moi ? On en reçoit trop. On n’arrive plus à lire. Donc on ferme le robinet. En gros, c’est la faute à l’IA.

Ah bon ? C’est l’IA qui a écrit le code il y a dix ans ? Ou ce sont des développeurs pressés qui l’ont torché à la va-vite, un vendredi soir, en se disant que personne n’irait voir ? Les failles n’ont pas été inventées par ChatGPT, Claude ou Gemini. Elles dormaient là, tranquilles, depuis des années. Simplement, personne n’avait le temps d’aller les chercher. L’IA n’a rien cassé du tout. Elle a allumé la lumière dans la cave. Bon. Cela dit, va gérer une boîte mail qui reçoit dix fois plus de courrier du jour au lendemain. On comprend le réflexe. Même chez Apple. Que veux-tu, le vendredi soir, c’est sacré. Sauf que le robinet ne fait pas le tri. Il compte. Mettons dix. Dix, c’est dix. Pas onze. Nuance, et retiens-la bien, on y revient plus bas. Un chercheur ne peut plus garder qu’un nombre limité de rapports ouverts en même temps. Au-delà, tu repasses dans trente jours. Tu peux demander un relèvement de quota, c’est vrai, je te l’accorde. Apple jure même que c’est facile et possible à tout moment. Sauf que Bynario, lui, n’a pas pu signaler sa faille. Et là tu vois arriver le serpent qui se mord la queue.

Le détail qui achève le tableau, tu vas adorer. Apple a recours à l’IA en interne pour encaisser l’afflux. Et dans ses mises à jour de sécurité de cette semaine, elle remercie nommément les outils d’Anthropic et d’OpenAI pour l’avoir aidée à dénicher des failles chez elle. Pas Gemini. Gemini, lui, a décroché le gros lot ailleurs : c’est désormais le moteur de Siri. De l’IA pour filtrer de l’IA, et de l’IA concurrente pour causer à ton iPhone. On est en 2026, la boucle est bouclée, et pas un communiqué ne trouve ça drôle. Ah, et le blocage pour envoyer des rapports de failles date de juin. On en a eu connaissance qu’en août. Grâce à l’article du Financial Times. Deux mois pendant lesquels des chercheurs se sont cognés à un mur sans même savoir qu’il existait. Et qui voulaient juste prévenir Apple qu’il y avait des failles. On a dit dix. Pas onze.

Google avait déjà baissé le prix, trois mois plus tôt

Maintenant intéressons-nous à Google. La firme de Mountain View, propose elle aussi des primes. Mais il faut avoir en tête cette information. Le 3 mai 2026, Google refond son programme de primes. Les récompenses Android explosent. Le zero-click sur la puce Titan M passe de un million à un million et demi de dollars. D’autres catégories grimpent de moitié. Générosité, applaudissements, tout le monde est content. Et Chrome ? Chrome baisse. Du moins les primes. Pour  la recherche de failles dans cet outil. Les bonus de 2025 sur la lecture-écriture arbitraire et l’exécution de code à distance sautent. Sans fleurs ni couronnes. Plus de gros cigares. 

La justification de Google vaut son pesant de cacahuètes : « ces dernières années, l’IA et l’automatisation ont accéléré le rythme de découverte des vulnérabilités ». Autrement dit, ce qui est devenu facile à trouver vaut moins cher. Normal. Ce n’est plus de l’humain.  Mais de l’IA. Elle, elle ne fume pas le gros cigare. Google ajoute au passage un multiplicateur de 0,8 sur les trouvailles jugées de faible qualité. Un rabais, donc. Mais dit poliment. 

Bon. Soyons honnêtes deux minutes, parce que la lecture inverse existe et que tu me la sortirais en commentaire. Google ne coupe pas partout. Il monte Android pendant qu’il descend Chrome. Ce n’est donc pas un plan d’économies à l’aveugle. C’est une tarification calée sur le coup de main que l’IA apporte selon la cible. Un zero-click sur Titan M, une machine ne te le trouve pas en trois semaines. Un bug mémoire dans un navigateur, beaucoup plus facilement. Le raisonnement tient debout, je te l’accorde volontiers. Il n’empêche qu’il dit exactement ce que tu crois qu’il dit.

Chez Apple, deux règles, et une seule fait mal

Alors l’histoire du dix pas onze chez Apple, c’est inventé ? Pas du tout. Bien au contraire. Elle est publique, écrite noir sur blanc dans les conditions du programme. Un chercheur qui envoie de façon répétée des trouvailles inéligibles voit ses rapports suspendus pendant 180 jours. Et Apple vise clairement : « y compris des problèmes découverts par IA sans validation appropriée ». Deux suspensions au compteur, et c’est l’exclusion définitive. Brutal ? Oui. Mais parfaitement légitime. Cette règle-là chasse le déchet, et le déchet, il faut bien que quelqu’un le chasse.

Et puis il y a cette info révélée par le Financial Times. Le plafond de volume et ses trente jours d’attente. Elle, elle ne vise rien du tout. Elle compte des lignes dans une file. Alors devine laquelle a bloqué la faille macOS ?  Et Bynario n’était pas un inconnu qui débarque. En 2025, la boîte avait déjà signalé huit failles à Apple, dont une corrigée par une mise à jour en novembre. Cette année, cinq de plus. Puis le portail a dit stop. Elle est restée dehors parce qu’un compteur affichait complet. Une faille réelle, chère, exploitable, arrêtée par une jauge. Voilà la nuance que personne ne relève. Et c’est pourtant toute l’affaire. Dix n’est pas onze. 

La vraie question n’est pas le tri, c’est la facture

Là, on arrive au moment où il faut arrêter de faire semblant. On va parler pognon. celui qui fait que certains ne vont plus fumer de gros cigares. Le tri de failles, ça coûte des heures d’ingénieur. La prime, ça coûte du cash. Deux dépenses différentes, même ligne comptable. Et l’IA vient de faire s’effondrer le prix de fabrication d’un rapport, sans toucher ni à l’une ni à l’autre.

Quand un bien devient gratuit à produire, l’acheteur a deux portes de sortie. Baisser le prix, ou limiter la quantité. Google a baissé le prix. Apple a limité la quantité. Avec tous les risques que cela comporte. Le projet curl³, lui, n’avait ni prix à baisser ni salariés à embaucher. Il a fait la seule chose qui lui restait : il a fermé boutique en janvier. Son mainteneur Daniel Stenberg a résumé ça d’une formule qui vaut tous les rapports d’analyse du monde. Selon lui, le déchet généré par IA inflige un déni de service à l’open source. Un déni de service. Sur des humains. Laisse infuser deux secondes. Sors le sachet. Analyse. Et ce n’est pas qu’un cri de mainteneur épuisé. Rafe Pilling, directeur du renseignement sur les menaces chez Sophos, dit la même chose en costume trois pièces. Les programmes de primes passent selon lui « d’un problème de recherche de vulnérabilités à un problème de validation, de priorisation et de réponse à ces vulnérabilités à la vitesse de la machine ».

Maintenant, reprends. On revient à la boîte de Milan. Une cinquantaine de bugs potentiels en trois semaines, à quelques personnes. Multiplié par les milliers de chercheurs qui tournent sur la planète. Tu comprends tout de suite pourquoi le budget primes de n’importe quel éditeur devient une question de survie comptable. Et pourquoi les communiqués officiels parlent pudiquement de « qualité » là où ils pensent « coût ». Pognon. Pognon.  Le bug bounty a toujours été vendu comme un pacte moral. Tu nous aides à protéger nos utilisateurs, on te récompense, tout le monde se serre la main. On découvre en 2026 que c’était un marché tout court. Il aura suffi que l’offre explose pour que le masque tombe.

Va-t-on arrêter de chercher les failles ?

Non. Et c’est bien pire que ça. Un recensement publié le 28 juillet a épluché les principaux programmes de primes de la planète. Aucun n’interdit franchement les rapports assistés par IA. Aucun. Zéro. Une bonne moitié n’a même pas une ligne écrite sur le sujet. Parmi ceux qui encadrent, huit sur dix veulent un humain dans la boucle, sept sur dix une preuve de concept qui fonctionne vraiment, et à peine 6 % demandent de déclarer l’usage d’une IA.

Ma trouvaille préférée du lot vient de FFmpeg. Le projet ne te demande pas si tu as utilisé une IA. Il te demande le nom du relecteur humain. Comme le note le rapport, c’est un engagement nettement plus difficile à falsifier. Malin. Gratuit. Et personne d’autre n’y avait pensé. Donc non, la recherche de failles ne va pas s’arrêter. Au contraire. Elle devient abondante, bon marché, à la portée du premier venu avec un abonnement à vingt euros par mois. Ce qui se ferme, ce n’est pas la recherche. C’est le guichet.

Et une faille qui ne passe plus par le guichet, elle ne s’évapore pas pour autant. Elle attend. Dans un tiroir. Ou sur un marché où personne ne réclame de facture. Pendant ce temps-là, celui qui veut l’exploiter dispose exactement des mêmes outils que celui qui voulait la signaler. Avec une petite différence : lui, il n’a pas de quota. Ensuite, il te vole. Et c’est lui qui fume le gros cigare. 

Ce que ça change pour ton Chromebook

Ce qui change pour ton Chromebook ? Aujourd’hui, rien. Franchement, rien. Aucune alerte, aucune bannière, rien qui bouge dans ton canal de mise à jour. Tu peux refermer l’onglet et aller te faire un café. Mais retiens la séquence, parce qu’elle est bavarde. En janvier, curl ferme. Puis en mai, Google baisse les primes de Chrome en citant l’IA. En juin, Apple pose son plafond en silence. Le 30 juillet, Google publie un billet triomphal : 1 072 failles corrigées par l’IA sur deux versions de Chrome. Plus que les vingt-trois précédentes réunies. Dont une évasion de bac à sable qui roupillait depuis treize ans. Et cerise sur le gâteau, les mises à jour de sécurité publiées par Apple cette même semaine contiennent environ cinq fois plus de correctifs que les cycles précédents. On est face à deux récits opposés, servis par les mêmes maisons. Chez Google, l’IA qui déniche des failles est une victoire. Et c’est vrai, je ne vais pas dire le contraire. Google tient les deux bouts de la chaîne : l’agent qui cherche, l’équipe qui répare. Chez Apple, le même outil lâché dans les mains de milliers d’inconnus devient un bouchon sur le périphérique. La différence n’est pas technique. Elle est structurelle. Celui qui possède toute la chaîne encaisse le choc. Le chercheur indépendant, lui, se prend une file d’attente.

Reste la question que personne n’a envie de poser tout haut. Le navigateur qui protège ton Chromebook vaut officiellement moins cher à auditer depuis le mois de mai. Si tu trouves une faille dedans demain matin, tu pourras encore la signaler ? Et surtout, entre nous : est-ce que ça vaudra encore le coup ? On n’arrête pas de chercher les failles. On arrête juste de les recevoir.

Notes de bas de page

1. Élévation de privilèges : une faille qui permet à un programme lambda de récupérer les droits de l’administrateur. Autrement dit, tu entres par la porte de service et tu ressors avec les clés de la maison ↩︎
2. Bug bounty : littéralement « prime au bug ». Un éditeur ouvre la chasse à ses propres failles au monde entier et paye qui les lui rapporte, selon un barème public. L’idée date des années 1990 et repose sur un pari simple : mieux vaut payer un chercheur honnête que laisser la faille se vendre ailleurs, plus cher et à des gens moins fréquentables. ↩︎
3. curl : petite brique logicielle qui sert à transférer des données sur le réseau. Invisible, discrète, et présente dans plus de vingt milliards d’installations selon le projet lui-même. Des voitures, des téléviseurs, des routeurs, des imprimantes, des téléphones, des appareils médicaux. Ton Chromebook aussi. Bref, un truc dont personne ne parle et dont tout le monde dépend. ↩︎