Découverte autonome de vulnérabilités par l'IA : la fin ou la renaissance de l'industrie des bug bounties ?

De chasseur à machine : le changement de paradigme dans la découverte de vulnérabilités

En avril 2026, Anthropic a publié le modèle Claude Mythos, affirmant avoir découvert des milliers de vulnérabilités zero-day en quelques semaines, couvrant tous les principaux systèmes d'exploitation et navigateurs. Il ne s'agit pas seulement d'une avancée technique, mais aussi d'un point de bascule où la découverte de vulnérabilités passe de la domination humaine à l'autonomie des machines. L'industrie des bug bounty – cet écosystème qui permettait aux chercheurs en sécurité indépendants de gagner des centaines de milliers de dollars par an – connaît des bouleversements sans précédent.

L'âge d'or des bug bounty et les courants sous-jacents

Le bug bounty n'est pas un concept nouveau. En 1983, Hunter & Ready a offert une Coccinelle Volkswagen pour récompenser la découverte de bugs dans le système d'exploitation VRTX, ouvrant la voie aux récompenses de bogues. Par la suite, Netscape (1995), Google (2010), Facebook (2011) ont successivement mis en place des programmes officiels de bug bounty. L'arrivée de plateformes comme HackerOne et Bugcrowd en 2012 a commercialisé la découverte de vulnérabilités, donnant naissance à une communauté de chasseurs de bugs professionnels.

En 2022, les meilleurs chasseurs comme Youssef Samouda pouvaient gagner jusqu'à 400 000 dollars par an. Mais les courants sous-jacents étaient déjà à l'œuvre : les outils automatisés et l'assistance précoce de l'IA commençaient à modifier l'équilibre de l'efficacité. En 2025, la société de sécurité offensive et défensive autonome XBOW figurait déjà en tête du classement HackerOne. L'IA n'était plus un assistant, mais un concurrent.

La "double pression" de l'IA

En 2026, les chasseurs de bugs utilisaient couramment des modèles comme Claude pour les aider dans leurs recherches, mais les effets secondaires sont apparus : une augmentation massive des signalements a entraîné un encombrement sérieux des plateformes, avec une prolifération de rapports en double et de soumissions de faible qualité. Le célèbre chasseur Cassim Khouani (Aituglo) a décrit dans "L'état du bug bounty en 2026" : l'IA découvre 10 vulnérabilités en une nuit, la moitié sont des doublons, les autres attendent des semaines pour être examinées. Il déclare sans ambages : "Le bug bounty que nous connaissons est en train de mourir."

Les plateformes et les fournisseurs sont également sous pression. Le 30 avril 2026, Google a réduit les récompenses de Chrome et augmenté celles d'Android, invoquant le volume anormal de signalements causé par l'IA, afin d'orienter les chasseurs vers des produits plus essentiels. Cet ajustement reflète l'impact de l'IA sur le mécanisme traditionnel des récompenses : quand les machines peuvent découvrir des vulnérabilités, le modèle de paiement par vulnérabilité perd de sa valeur.

Mythos : du multiplicateur de force au remplacement de capacité

L'apparition de Claude Mythos a complètement rompu l'équilibre. Selon Anthropic, Mythos Preview a détecté plus de 23 000 vulnérabilités potentielles dans 1 000 projets open source, dont un grand nombre de zero-day jusqu'alors inconnues. Ses capacités dépassent déjà la grande majorité des chasseurs humains. Plus crucial encore, Anthropic a lancé le Project Glasswing, donnant accès anticipé au modèle aux principaux éditeurs de logiciels, leur permettant de corriger les vulnérabilités avant leur divulgation publique.L'Agence américaine de la sécurité des infrastructures et de la cybersécurité (CISA) a également publié des directives, exhortant les CISO à élaborer un plan de sécurité « prêt pour Mythos », en mettant l'accent sur l'introduction d'agents d'IA pour égaler la vitesse des attaquants. Cela signifie que la détection des vulnérabilités passe de « trouver le problème » à « résoudre le problème à la vitesse de la machine ».

L'avenir du secteur : évolution, pas mort

Khouni estime que les primes aux bogues en 2024 sont mortes, mais qu'en 2026, il s'agit d'un « mouvement différent ». Les chasseurs qui survivront vraiment ne sont pas ceux qui exécutent le plus d'agents d'IA, mais ceux qui savent quoi chercher et où regarder. L'IA est un multiplicateur, mais elle ne peut pas remplacer la compréhension humaine de la logique métier et des chaînes d'attaque complexes.

Pour l'ensemble du secteur, l'impact est double. D'une part, les plateformes doivent améliorer leurs mécanismes de validation, en utilisant l'IA pour filtrer et vérifier automatiquement les rapports ; d'autre part, les fournisseurs doivent repenser leurs processus de développement sécurisé, en intégrant les tests autonomes par l'IA dans les pipelines CI/CD. Les primes aux bogues pourraient passer de « trouver une vulnérabilité et être payé » à un service à valeur ajoutée fournissant « validation des correctifs et contexte de risque ».

À long terme, l'IA n'a pas tué les primes aux bogues, mais les a propulsées dans une nouvelle phase. Dans cette phase, le mode de collaboration entre humains et machines redéfinira la chaîne de valeur du secteur de la sécurité. Ceux qui s'adapteront trouveront une nouvelle niche, tandis que ceux qui s'accrochent aux anciens modèles seront inévitablement éliminés.