L’IA aide les chasseurs de bugs de Microsoft à gagner un salaire record de 20 millions de dollars

Microsoft a annoncé cette semaine qu’entre le 1er juillet 2025 et le 30 juin 2026, la société avait versé plus de 20 millions de dollars en bug bounties à 562 chercheurs.

Le total était un record à Redmond, tout comme le nombre de personnes soumettant des rapports de bogues – malgré le fait d’avoir dû naviguer dans un processus de soumission parfois frustrant.

À titre de comparaison, le programme de l’année précédente, qui avait lui-même établi un nouveau record d’entreprise, avait versé à 344 chercheurs environ 17 millions de dollars.

On pourrait toutefois affirmer que ces chiffres ne représentent pas un combat équitable. Microsoft a étendu son programme de primes aux bogues en décembre 2025, en modifiant les rapports pour ce qu’il appelle « Dans la portée par défaut ».

En vertu de cette politique, les vulnérabilités critiques devenaient éligibles à des récompenses si elles avaient un impact direct et démontrable sur les services en ligne de Microsoft, même lorsque le code défectueux appartenait à un tiers ou à un projet open source.

En bref, Microsoft avait ouvert la porte à des paiements supplémentaires chaque année.

Microsoft a introduit cette politique à peu près au milieu de l’année de la prime et a déclaré qu’elle représentait 800 000 $ de récompenses qui n’auraient pas été disponibles auparavant.

2,3 millions de dollars supplémentaires ont été attribués dans le cadre de Zero Day Quest, le défi de recherche en sécurité et l’événement de piratage en direct de Microsoft.

L’augmentation du nombre de rapports cette année peut également s’expliquer en partie par l’afflux notable de soumissions au cours du second semestre, a déclaré Microsoft, que la société attribue en partie à « l’utilisation croissante de l’IA pour soutenir la recherche en matière de sécurité ».

Microsoft a également attribué ses Patch Tuesdays de plus en plus fréquentés en partie à sa propre utilisation de modèles d’IA avancés pour la découverte de vulnérabilités.

Les 622 vulnérabilités enregistrées en juillet ont battu le précédent record de 206, établi un mois plus tôt. Juin avait lui-même dépassé le 165 d’avril, qui était à l’époque le deuxième plus gros Patch Tuesday de Microsoft, et le 137 de mai.

Quelques jours avant le Patch Tuesday record de juillet, le responsable Windows + Devices de Microsoft a averti les clients de s’attendre à la même chose maintenant que l’IA joue un rôle important dans la découverte des vulnérabilités, à la fois au sein de Microsoft et par les chasseurs de primes externes.

Cependant, Pavan Davuluri, vice-président exécutif de Microsoft pour Windows + Appareils, n’a pas tardé à souligner que la société propose à ses clients une suite d’outils de correctifs automatisés pour alléger le fardeau, mais n’a rien mentionné sur les outils permettant de réparer les machines que ses mises à jour Windows ennuient si souvent, comme les Dell à processeur Intel.

En plus de faire face à la rapide IA de la recherche sur les vulnérabilités et à l’assaut des rapports qui l’accompagnent, Microsoft a sans doute été confronté à un problème de bug plus important cette année au milieu de spéculations non vérifiées selon lesquelles un chercheur prolifique pourrait être un ancien membre du personnel de Microsoft.

Sous le nom de NightmareEclipse, un chercheur possédant une connaissance approfondie des logiciels de Microsoft et un mépris tout aussi apparent pour l’entreprise a passé le deuxième trimestre à abandonner à volonté les systèmes Zero Day sophistiqués.

NightmareEclipse affirme que les tentatives de signalement des vulnérabilités à Microsoft se sont soldées par des insultes, des humiliations et des sans-abri. Ils ont ensuite commencé à publier des données Zero Day en dehors de la divulgation coordonnée, souvent peu de temps après le Patch Tuesday, affirmant qu’ils voulaient causer le maximum de souffrance à Microsoft.

Celles-ci allaient de graves failles d’élévation de privilèges conduisant à un accès SYSTÈME aux contournements de BitLocker, et l’approche semblait avoir inspiré au moins deux autres chercheurs lésés à simplement abandonner le code d’exploitation en dehors de toute divulgation responsable.

Microsoft a répondu en menaçant d’impliquer son unité de lutte contre la criminalité numérique dans le différend avec NightmareEclipse, suggérant qu’il était prêt à engager les forces de l’ordre, même si cela s’est déroulé aussi bien que prévu. ®