Prime de bug refusée par Google : la faille critique « ConfigConfusion » qui divise la communauté sécurité

La chronologie contradictoire de la réponse de Google

Le dossier est ouvert depuis près de trois mois sans correctif ni prime versée .

1. Acceptation initiale — « Beau travail ! »
   L'équipe de bug bounty de Google a d'abord trié le rapport, l'a classé comme haute priorité / haute sévérité et un représentant de Google a félicité O'Leary avec un « Nice catch! » .

2. Prime refusée — « Comportement voulu »
   Google est ensuite revenu sur sa décision, a fermé le rapport et a déclaré que le comportement était « working as intended » (fonctionne comme prévu) — ce qui signifie qu'il n'était pas considéré comme une vulnérabilité valide selon les règles du programme. Aucune récompense n'a été versée .

3. Pas de correctif, dossier toujours ouvert
   Au 18 juin 2026, la faille reste non résolue. Google n'a pas corrigé Config Connector et n'a offert aucune prime à O'Leary .

Contexte plus large : la refonte des VRPs de Google en 2026

Fin avril / début mai 2026, Google a revu en profondeur ses Vulnerability Reward Programs (VRP) pour Chrome et Android, invoquant une vague de soumissions générées par l'IA .

• Les primes Chrome ont été réduites — Google a restructuré les récompenses pour privilégier les bugs « actionnables » et à fort impact, réduisant explicitement les récompenses pour les rapports à faible impact que les outils d'IA peuvent désormais générer en masse .
• Les récompenses Android ont augmenté — Le paiement maximal pour les exploits zero-click persistants sur Titan M a été porté à 1,5 million de dollars, ciblant les bugs matériels complexes que l'IA ne trouve pas facilement .
• Google a déclaré qu'il « réduisait certains montants de récompenses et bonus sur Android et Chrome » pour se concentrer sur « la qualité et l'impact réel plutôt que sur le volume pur » .

Le cas d'O'Leary, bien que relevant du Cloud VRP (et non de Chrome/Android), alimente la perception croissante chez les chercheurs que Google resserre ses paiements, même pour des failles graves découvertes manuellement — à un moment où l'entreprise réduit publiquement les primes à cause du bruit généré par l'IA .