En bref : une vulnérabilité n’est pas prête simplement parce qu’un scanner a identifié une faiblesse. Elle l’est lorsque les preuves, le périmètre, l’impact et le processus de soumission sont suffisamment solides pour qu’un chercheur humain puisse se fier à l’étape suivante.
Le problème de la maturité
Les processus de bug bounty échouent lorsque chaque signal intéressant est traité comme un rapport potentiel. Cela engendre des risques de doublons, des erreurs de périmètre, de faibles allégations d’impact et une lassitude liée au triage. Le bon modèle opérationnel est plus strict : maintenir une collecte de signaux étendue, tout en appliquant des critères de soumission rigoureux.
KENSAI utilise la maturité des vulnérabilités comme passerelle entre la découverte autonome et le véritable travail de bug bounty. Le système peut recueillir de nombreuses pistes, mais seule une petite partie d’entre elles doit atteindre la phase de soumission.
Ce dont une vulnérabilité prête a besoin
- Confiance dans le périmètre : l’actif concerné correspond clairement aux règles du programme et ne repose pas sur une liste de cibles obsolète.
- Preuve reproductible : le problème peut être démontré à nouveau avec suffisamment de détails pour qu’un autre opérateur puisse le vérifier.
- Preuve de l’impact : le rapport explique ce qu’un attaquant peut obtenir, et pas seulement ce qu’un outil a détecté.
- Prise en compte des doublons : le schéma a été comparé aux divulgations connues et à l’historique interne avant la soumission.
- Adéquation à la soumission : la plateforme, la sévérité, le ton du programme et les champs requis sont clairement définis avant que le chercheur ne commence à rédiger.
La maturité n’est pas de la bureaucratie. Elle permet à une équipe de bug bounty rapide d’éviter de consacrer son précieux temps de revue humaine à des vulnérabilités qui n’auraient jamais passé le triage.
Les bénéfices opérationnels
Lorsque la maturité est explicite, les vulnérabilités faibles ne disparaissent pas. Elles passent à des états de validation, d’enrichissement ou de rejet, avec un motif associé. Les vulnérabilités solides, quant à elles, contiennent suffisamment de contexte pour parvenir à la personne capable de les soumettre ou de les approfondir sans devoir reprendre l’enquête depuis le début.
C’est important, car la rapidité en bug bounty ne dépend pas seulement de la découverte initiale. Elle consiste aussi à préserver les minutes qui suivent la découverte, lorsqu’un autre chercheur peut se hâter de soumettre le même rapport.
Conclusion
La maturité des vulnérabilités garantit la rigueur de KENSAI. Elle permet à l’automatisation de mener des recherches étendues tout en maintenant une qualité de soumission exigeante, seul équilibre utile pour un système de bug bounty qui privilégie les récompenses plutôt que les indicateurs d’activité.