L’enfer est pavé de bots, attention ! Depuis l’an dernier, de nombreux projets open source croulent sous une avalanche de contributions générées par IA. Des apports le plus souvent médiocres, qui font perdre un temps précieux aux contributeurs historiques.
Daniel Stenberg, le créateur de cURL, un composant logiciel aussi discret qu’omniprésent, a été l’un des premiers à tirer la sonnette d’alarme. L’été dernier, il expliquait que seuls 5 % des vulnérabilités signalées dans cURL étaient réellement fondées, un taux en chute libre par rapport aux années précédentes en raison de signalements inexacts générés par IA. Or, chaque rapport mobilise l’équipe de sécurité, contrainte d’analyser des alertes inutiles. Incapable d’endiguer cet afflux, Daniel Stenberg a fini par mettre un terme au programme de bug bounty de cURL le 31 janvier.
Les IA génératives ont en effet fait émerger un nouveau profil de contributeurs, qui n’avaient jusqu’ici pas les compétences techniques nécessaires pour participer à des projets open source. Désormais, n’importe qui peut solliciter ChatGPT, Claude ou Gemini pour tenter d’identifier une faille de sécurité, proposer un correctif ou demander un changement.
cURL a fêté son 25e anniversaire et vous l’utilisez tous les jours sans le savoir
Selon Daniel Stenberg, les nouveaux contributeurs du programme de sécurité de cURL n’étaient pas vraiment animés par de bonnes intentions, mais essentiellement par l’appât du gain, les découvertes étant rémunérées :
Ces « contributeurs » s'efforcent trop de présenter leurs découvertes comme des problèmes catastrophiques et des vulnérabilités critiques, mais ils participent rarement activement à l'amélioration de cURL.
Depuis, d’autres responsables de projets open source font le même constat, même lorsque de l’argent n’est pas en jeu. Rémi Verschelde, qui supervise le moteur de jeu open source Godot, déplore ainsi sur Bluesky la multiplication des pull requests (proposition de modification de code) générées par IA, qu’il juge « épuisantes et démoralisantes pour les mainteneurs ». Chaque proposition de nouveaux contributeurs doit être examinée avec suspicion : l’auteur comprend-il le code qu’il soumet, a-t-il seulement été testé ?
Rémi Verschelde est embarrassé : il ne souhaite pas fermer la porte aux nouveaux contributeurs, mais cette situation fait perdre un temps considérable à l’équipe. Le logiciel de 3D Blender est confronté au même problème. Pour y faire face, ses responsables envisagent un durcissement des règles de contribution, imposant notamment que les contributeurs comprennent le code soumis et déclarent explicitement la part prise par l’IA.
Dans ce contexte, le développeur Mitchell Hashimoto propose un système d’invitation pour filtrer les nouveaux contributeurs nommé Vouch. Les utilisateurs non « parrainés » ne pourraient pas proposer de contributions, tandis que les comportements malveillants pourraient être signalés et bloqués. Les approbations seraient accordées ou retirées via les commentaires GitHub ou une interface en ligne de commande. Une tentative de remettre un peu de confiance et d’humain dans l’écosystème open source à l’heure de l’IA.
