Google a versé plus de 17 millions de dollars à plus de 700 chercheurs en sécurité dans différents pays en 2025, selon le bilan annuel de son programme de récompenses pour les vulnérabilités (VRP). Ce montant constitue la valeur annuelle la plus élevée de l’histoire du programme et représente une hausse de plus de 40 % par rapport à 2024, ce qui témoigne de la dépendance continue de Google à l’égard de la communauté des chercheurs externes pour découvrir et corriger les vulnérabilités de ses produits et services.
Les résultats de 2025 coïncident avec le quinzième anniversaire du programme, lancé en 2010 et qui n’a cessé depuis d’élargir la portée de ses programmes et ses mécanismes de récompense. Google a déclaré que la participation de chercheurs externes contribuait à renforcer la sûreté et la sécurité de ses produits et de ses utilisateurs, tout en reflétant l’adhésion de la communauté de la recherche en sécurité à ces programmes.
Un volet consacré à l’intelligence artificielle
En 2025, Google a lancé un programme dédié aux récompenses pour les vulnérabilités liées à l’intelligence artificielle, alors que ce domaine était auparavant encadré par le programme Abuse VRP. La séparation des deux programmes s’est accompagnée d’améliorations des règles afin d’offrir davantage de clarté aux chercheurs concernant le périmètre des tests et le montant des récompenses.
Le programme Chrome VRP a également ajouté des catégories de récompenses pour les problèmes détectés dans les fonctionnalités d’intelligence artificielle de Chrome. L’intelligence artificielle est ainsi devenue un axe indépendant du programme de récompenses pour les vulnérabilités de Google, tout en étant incluse dans le périmètre des récompenses de Chrome.
Des récompenses pour l’outil OSV-SCALIBR et des événements de sécurité
L’entreprise a également lancé un programme de récompenses pour les mises à jour consacrées à l’outil open source OSV-SCALIBR, un outil de Google destiné à détecter les vulnérabilités dans les dépendances logicielles. Le programme récompense les contributeurs qui proposent de nouvelles extensions de l’outil permettant d’inventorier les composants, de détecter les vulnérabilités ou de repérer les secrets, élargissant ainsi ses capacités d’analyse. Google a précisé que les contributions des utilisateurs l’avaient déjà aidée à découvrir et à traiter plusieurs secrets divulgués en interne.
En octobre, Google a organisé à Mexico la conférence ESCAL8 dans le cadre de la campagne du Mois de sensibilisation à la cybersécurité. La conférence comprenait l’atelier init.g(mexico) destiné aux étudiants, les finales du concours HACKCELER8 et un séminaire Safer with Google destiné à des responsables gouvernementaux mexicains.
Résultats des événements bugSWAT
L’événement bugSWAT, une manifestation de piratage en direct réservée aux personnes invitées, a connu plusieurs éditions en 2025. Les résultats annoncés comprenaient :
- Événement AI bugSWAT à Tokyo en avril : plus de 70 rapports et plus de 400 000 dollars de récompenses.
- Événement Cloud bugSWAT à Sunnyvale en juin : 130 rapports et 1,6 million de dollars de récompenses.
- Événement bugSWAT à Las Vegas en août : 77 rapports et 380 000 dollars de récompenses.
- Événement bugSWAT Mexico dans le cadre de la conférence ESCAL8 à Mexico : 107 rapports et un total de récompenses atteignant alors 566 000 dollars, couvrant les domaines de l’intelligence artificielle, d’Android et du Cloud.
Les projets du programme en 2026
Google prévoit d’organiser plusieurs événements bugSWAT en 2026, ainsi qu’une nouvelle édition de la conférence ESCAL8. L’entreprise a déclaré que ses objectifs plus larges consistaient à se préparer aux menaces émergentes, à s’adapter à l’évolution des technologies et à renforcer la posture de sécurité de ses produits et services en collaboration avec la communauté des chercheurs externes.
Google indique que des informations supplémentaires sur les programmes Android, Abuse, AI, Cloud, Chrome et OSS, notamment les rapports sur les vulnérabilités à fort impact et les principaux domaines de recherche, sont disponibles dans la version détaillée du bilan publiée sur le blog Security Engineering.