Bug bounty et inégalités structurelles de la chasse aux primes

Éditorial

Enquête sur le bug bounty comme reproduction des inégalités du marché du travail, entre concentration des récompenses, incitation des plateformes au nombre et apport réel à la sécurité.

~8 min de lecture5 sections

Bug bounty et inégalités structurelles de la chasse aux primes

Le bug bounty s’est vendu comme une rupture : n’importe qui, n’importe où, pourrait monnayer une faille trouvée sur son temps libre, hors des circuits fermés du recrutement en sécurité. La promesse était celle d’un marché ouvert. Ce texte examine pourquoi ce marché, ouvert en apparence, concentre ses récompenses exactement comme celui qu’il prétendait contourner.

Explication de la marmotte

Un concours ouvert à tous où seuls quelques champions équipés repartent avec presque tous les prix, pendant que la foule des participants joue pour des miettes. La porte d’entrée est grande ouverte, ce qui donne l’impression d’un jeu équitable. Regarder qui gagne vraiment, et pourquoi l’organisateur préfère beaucoup de joueurs, éclaire tout le reste.

→ Lire l’explication complète de la marmotte

La concentration des récompenses derrière la promesse d’ouverture

L’argument de vente du bug bounty repose sur un chiffre rassurant : le nombre de chercheurs inscrits, qui se compte en centaines de milliers sur les grandes plateformes. Ce chiffre mesure une inscription, pas un revenu. La distribution des primes, elle, suit une loi de puissance brutale : une minorité de chasseurs professionnels capte la quasi-totalité des montants versés, pendant que l’immense majorité des inscrits ne touche jamais rien ou quelques dizaines d’euros pour des heures de recherche.

Ce n’est pas un accident de jeunesse du modèle, c’est sa mécanique. La recherche de vulnérabilités récompense l’outillage et la spécialisation, deux avantages cumulatifs. Un professionnel équipé d’une chaîne d’automatisation (reconnaissance de surface d’attaque, fuzzing, corrélation de fuites) balaie des milliers de cibles pendant qu’un débutant en inspecte une à la main. Chaque prime gagnée finance de meilleurs outils, qui gagnent la prime suivante plus vite. L’écart ne se referme pas, il s’élargit, exactement comme un capital qui produit des intérêts.

Le premier arrivé rafle tout, littéralement. La plupart des programmes ne paient que la première soumission valide d’une vulnérabilité (règle du duplicata) : le deuxième à trouver la même faille, même une heure plus tard, même avec un rapport meilleur, touche zéro. Cette règle transforme la recherche en course de vitesse où l’automatisation industrielle écrase le travail manuel. Le débutant qui apprend en explorant finance, de son temps non payé, la validation gratuite d’une surface que le professionnel a déjà ratissée.

L’incitation des plateformes à maximiser le nombre plutôt que la rémunération

Il faut regarder qui gagne de l’argent dans cette économie, et comment. La plateforme n’est pas rémunérée à la qualité des failles trouvées ni à l’équité de leur rémunération. Son modèle repose sur des frais prélevés sur les programmes clients (abonnement, commission sur les primes, services de triage) et sur la profondeur de son vivier de chercheurs, argument commercial numéro un face à un client. Plus il y a d’inscrits, plus l’offre est vendable.

Cet alignement d’intérêts a une conséquence directe : la plateforme gagne à recruter massivement, pas à ce que chaque recruté gagne bien. Un vivier de deux cent mille chercheurs dont deux mille vivent de l’activité se vend mieux qu’un vivier de cinq mille tous correctement payés, parce que c’est le grand nombre qui rassure le client sur la couverture. La masse des participants non rémunérés n’est pas un effet de bord regrettable : c’est une partie du produit, la démonstration vivante que « la communauté » regarde.

Le triage, souvent présenté comme un service neutre, penche dans le même sens. C’est la plateforme, ou l’équipe du programme, qui décide qu’un rapport est un duplicata, qu’une faille est hors périmètre, ou que sa sévérité justifie le bas de la fourchette annoncée. Le chercheur n’a aucun recours réel : la relation est structurellement asymétrique, l’une des parties fixant seule les règles de paiement des deux. On reconnaît là une dépendance de plateforme classique, celle qu’on retrouve dans d’autres formes de travail intermédié où l’algorithme fixe le tarif.

Ce que le bug bounty apporte, et où passe la ligne

Rien de tout cela n’annule ce que le bug bounty apporte de réel, et il apporte beaucoup. Voir la concentration des primes se mesure d’ailleurs sans base de données interne : un dépouillement des rapports publics (divulgations coordonnées) suffit à faire apparaître la loi de puissance.

# Estimation de la concentration des primes a partir de rapports publics.
# Entree : liste (chercheur, montant) issue de divulgations publiees.
from collections import Counter

primes = [("pro_a", 15000), ("pro_a", 9000), ("pro_b", 12000),
          ("occasionnel_1", 150), ("occasionnel_2", 50), ("occasionnel_3", 0)]

total = sum(m for _, m in primes)
par_chercheur = Counter()
for chercheur, montant in primes:
    par_chercheur[chercheur] += montant

classement = par_chercheur.most_common()
tete = sum(m for _, m in classement[:2])          # les 2 premiers
print(f"Part captee par les 2 premiers : {tete / total:.0%}")
# Part captee par les 2 premiers : 99%
# Deux chercheurs sur cinq captent 99 % : la loi de puissance, en clair.

Ce que le modèle apporte est solide sur un point précis : il met une surface d’attaque réelle, publiée, sous le regard d’un grand nombre d’yeux motivés, en continu, ce qu’aucune équipe interne de taille finie ne peut faire. Une faille exploitable a une valeur bien supérieure à sa prime sur le marché noir ou entre les mains d’un attaquant : payer pour qu’elle remonte par le canal légitime plutôt que par une intrusion reste un excellent calcul pour l’organisation, indépendamment de l’équité de la rémunération du chercheur.

La ligne passe là. Le bug bounty est un dispositif de sécurité efficace pour l’organisation qui l’achète, et une opportunité économique très inégale pour ceux qui y participent, et ces deux vérités coexistent sans se contredire. Le problème n’est pas qu’il existe, c’est le discours qui l’enrobe : présenter comme une démocratisation méritocratique ce qui est un marché à forte concentration, où l’organisateur a intérêt à la foule et le travail non retenu n’est pas payé. Un programme de primes ne remplace pas un audit régulier ni une revue de code : il en couvre les angles morts, de façon irrégulière, en externalisant le risque de non-découverte sur une main-d’œuvre payée au résultat et au premier arrivé.

La recommandation assumée, pour qui met en place un tel programme : le traiter comme un complément à rendement variable, jamais comme une ligne de défense structurante. Payer les duplicatas partiels et les rapports de qualité même non premiers, publier une grille de sévérité opposable, et raisonner la dépendance à la plateforme comme on raisonne toute dépendance de sécurité dans le temps. Compter sur le bug bounty pour tenir lieu de programme de sécurité, c’est confondre le nombre de regards avec la couverture, erreur de même nature que celle décrite à propos des journaux que personne ne lit.

🐝 Ce qui arrive si on s’en passe

Sans lecture lucide de cette économie, un programme de primes finit par tenir lieu d’audit permanent alors qu’il n’en a ni la couverture ni la régularité. Les conséquences sont mesurables : les classes de failles coûteuses à trouver (logique métier, enchaînements multi-étapes, erreurs d’autorisation profondes) restent hors des rapports, parce que le temps qu’elles exigent n’est pas rémunéré à hauteur du risque, tandis que les signalements convergent vers les vulnérabilités superficielles détectables par scanner. Un barème trop bas ou un périmètre trop étroit détourne aussi les chercheurs expérimentés vers d’autres acheteurs, et fait perdre la fenêtre de divulgation coordonnée : la faille existe toujours, mais personne ne prévient. S’y ajoute une illusion de traçabilité, le volume de rapports reçus étant pris pour un indicateur de sécurité alors qu’il ne mesure que l’activité de la plateforme.

🦫 Explication de la marmotte 🍫

Certaines entreprises proposent une récompense à qui trouve un défaut de sécurité dans leurs sites ou leurs logiciels. N’importe qui peut chercher et, s’il signale un vrai défaut, il touche de l’argent. Cela ressemble à un jeu ouvert et juste. En réalité, les gains sont très inégaux. Quelques professionnels ont fabriqué des programmes qui inspectent automatiquement des milliers de sites très vite, alors qu’un débutant en regarde un seul à la main. Comme l’argent gagné sert à améliorer ces programmes, les mêmes gagnent toujours plus, et l’écart grandit au lieu de se réduire. En plus, quand deux personnes trouvent le même défaut, seule la première est payée : la plus rapide, celle qui a les meilleurs outils, rafle tout, et le travail des autres ne rapporte rien. Les sociétés qui organisent ces récompenses gagnent leur argent en montrant à leurs clients qu’énormément de chercheurs participent. Elles ont donc intérêt à recruter le plus de monde possible, pas à ce que chacun soit bien payé : la foule qui cherche gratuitement fait partie de l’argument de vente. Malgré tout, le système rend un vrai service : beaucoup de regards surveillent en permanence, et payer pour qu’un défaut soit signalé coûte bien moins cher qu’une attaque réussie. Le piège est de croire que ce dispositif remplace une vérification sérieuse et régulière : il ne fait que la compléter, de façon irrégulière, en faisant porter le risque de ne rien trouver sur des gens payés seulement quand ils gagnent la course.

À lire aussi

• Bug bounty gouvernemental et immunité pénalePourquoi les programmes gouvernementaux de recherche de vulnérabilités créent une tension entre l'immunité annoncée et le droit pénal applicable hors périmètre.

Pages voisines

La citent

• PSIRT et divulgation coordonnée des vulnérabilités produit sous CRA

Bug bounty et inégalités structurelles de la chasse aux primes

Elle cite

• ⇄Lien dans les deux sens :Pourquoi les primes de bug bounty stagnent-elles
• L'heure comme dépendance de sécurité
• Le journal que personne ne lit
• Courtiers d'accès initial et marché des zero-day, détecter en amont
• Préparer un audit de sécurité externe et traiter ses écarts

⇄ : les deux pages se citent l’une l’autre.