prime aux bogues
L'offre permanente d'une entreprise : trouvez une faille de sécurité dans notre produit, signalez-la nous au lieu de la vendre, et nous vous payons.
Une prime aux bogues est un accord entre une entreprise et les chercheurs en sécurité du monde entier. Trouvez une faille dans notre logiciel, signalez-la nous en privé, et nous vous rémunérerons. Le montant dépend de la gravité, et une faille sérieuse dans un système d’exploitation très répandu peut atteindre six chiffres. L’objectif est de rendre le signalement honnête plus attrayant que l’alternative, qui consiste à vendre la même faille à quelqu’un qui compte s’en servir.
Le modèle a bien fonctionné pendant deux décennies et se retrouve aujourd’hui sous tension. Chaque rapport doit être lu et vérifié par un humain, et les modèles de langage ont rendu très bon marché la production de textes qui ressemblent à un rapport compétent sans en être un. Apple, entre autres, a commencé à plafonner le nombre de signalements par chercheur, ce qui protège les équipes de relecture mais empêche parfois de vraies découvertes de passer la porte.