Microsoft bat un record de primes aux failles, dopé par l’IA

Microsoft a versé plus de 20 millions de dollars en primes de bugs à 562 chercheurs entre le 1er juillet 2025 et le 30 juin 2026, un record pour l’entreprise. Ce total dépasse les quelque 17 millions de dollars distribués l’année précédente à 344 chercheurs. Dans le même temps, la montée des outils d’IA dans la recherche de vulnérabilités alimente un flot de rapports plus dense, plus rapide, et parfois plus difficile à traiter.

L’IA change la cadence des chasses aux failles

Selon Microsoft, une partie de la hausse vient de l’usage croissant de l’IA pour aider la recherche sécurité, côté chercheurs externes comme côté équipes internes. La société dit aussi que ses modèles avancés servent à découvrir des vulnérabilités, ce qui contribue à la hausse des correctifs publiés lors des Patch Tuesday. En juillet, Microsoft a corrigé 622 failles, contre 206 en juin, son précédent record mensuel. Le mois de juin avait déjà dépassé avril, qui avait atteint 165 vulnérabilités corrigées, puis mai avec 137.

Ce rythme n’est pas seulement une affaire de volume. Il oblige Microsoft à absorber davantage de signalements, parfois mieux ciblés, parfois moins utiles, alors que les chercheurs s’appuient de plus en plus sur des assistants capables de repérer des anomalies à grande échelle. Un chasseur de bugs armé d’IA, c’est un peu le stagiaire qui ne dort jamais. Et qui envoie beaucoup de dossiers.

Une règle élargie a ouvert davantage de failles rémunérées

Microsoft a aussi modifié son programme en décembre 2025 avec la règle dite “In Scope By Default”. Désormais, certaines vulnérabilités critiques deviennent éligibles à une prime si elles ont un impact direct et démontrable sur les services en ligne de Microsoft, même lorsque le code défaillant appartient à un tiers ou à un projet open source. L’entreprise estime que cette évolution a ajouté environ 800 000 dollars de récompenses qui n’auraient pas été disponibles auparavant.

À cela s’ajoutent 2,3 millions de dollars versés via Zero Day Quest, le défi de recherche et événement de hacking en direct de Microsoft. Dans ce contexte, le record annuel ne dit pas seulement que l’entreprise paie plus. Il montre aussi qu’elle élargit le périmètre des failles qu’elle accepte de rémunérer, au moment où les chaînes logicielles mêlent de plus en plus code maison, dépendances tierces et composants open source.

Des signalements plus nombreux, mais pas toujours plus simples

Microsoft indique que l’afflux de soumissions s’est nettement renforcé sur la seconde moitié de l’année. La société l’attribue en partie à l’usage croissant de l’IA dans la recherche de sécurité. Elle n’a pas détaillé le poids exact de chaque facteur, mais le signal est clair : le programme de primes gagne en ampleur, et la file d’attente avec lui.

Cette dynamique intervient alors que Microsoft doit aussi gérer une série de correctifs mensuels parfois lourds, ainsi que les aléas de compatibilité qui accompagnent certaines mises à jour. L’enjeu n’est donc pas seulement de payer davantage de chercheurs. Il s’agit de trier plus vite, corriger plus proprement et éviter que la mécanique de sécurité ne se transforme en usine à tickets.

Le cas NightmareEclipse ajoute une couche de tension

En parallèle, Microsoft a dû faire face cette année à des publications de failles hors divulgation coordonnée par un chercheur identifié sous le nom de NightmareEclipse. Cette personne, présentée comme connaissant très bien les logiciels de l’éditeur, a diffusé au deuxième trimestre plusieurs zero-days sophistiqués, après avoir affirmé que ses tentatives de signalement s’étaient soldées par des insultes, de l’humiliation et une situation personnelle dégradée [à vérifier]. Les failles publiées allaient de l’élévation de privilèges jusqu’à l’accès SYSTEM, en passant par des contournements de BitLocker.

Microsoft a répondu en évoquant la possibilité de saisir sa Digital Crimes Unit, signe que le dossier a aussi pris une dimension juridique et opérationnelle. Pour l’éditeur, la question n’est plus seulement de gérer une communauté de chasseurs de bugs plus nombreuse. Il faut aussi contenir les chercheurs qui choisissent la confrontation plutôt que la divulgation responsable.