Les outils d'IA submergent les mainteneurs de Linux de rapports de vulnérabilités en double

Les mainteneurs du noyau Linux font face à un problème inattendu : les outils d'IA de recherche de vulnérabilités produisent tant de rapports de bugs que les bénévoles n'ont tout simplement pas le temps de les traiter. Des milliers de rapports en double et de faible qualité paralysent le travail sur les vrais problèmes de sécurité.

L'ampleur du déluge

La vague de rapports automatiques grossit chaque semaine. Les outils d'IA, entraînés sur du code source, scannent Linux à la recherche de vulnérabilités potentielles et créent automatiquement des rapports de bugs. Le problème : les algorithmes génèrent de nombreux doublons d'un même sujet, issus d'outils différents, dans des formats différents et avec des niveaux de détail variables.

Les mainteneurs sont pour l'essentiel des bénévoles qui travaillent sur leur temps libre. Chaque rapport doit être lu, compris et vérifié du point de vue de la reproductibilité, puis il faut trancher : vulnérabilité réelle ou faux positif ? Quand des centaines de rapports arrivent chaque jour, le processus se grippe.

Pourquoi l'IA fait du bruit

Au cours des deux dernières années, des modèles LLM comme ChatGPT, Deepseek et Claude sont devenus plus accessibles et plus puissants. Des passionnés et des entreprises ont lancé des scanners automatisés fondés sur ces modèles pour traquer les vulnérabilités. Sur le papier, cela paraît utile : des yeux supplémentaires sur le code. En pratique, cela crée un problème de surcharge d'information.

L'IA se déclenche souvent sur du code qui semble suspect mais qui est en réalité sûr dans le contexte de Linux. Les modèles ne comprennent pas toujours les particularités du noyau, son architecture de sécurité ni les protections existantes. Résultat : des centaines de « trouvailles » qui s'avèrent inutiles.

Les conséquences sont déjà visibles

L'afflux de rapports bruyants pèse sur le processus de développement :

• Les vraies vulnérabilités critiques se perdent dans le flot de doublons et de faux positifs
• Les mainteneurs doivent consacrer du temps au tri plutôt qu'au code
• Certains bénévoles menacent de quitter le projet par lassitude
• Le correctif des vrais problèmes prend du retard
• La relecture devient plus pénible et plus lente

Des développeurs ont proposé de créer un filtre ou une quarantaine dédiés aux rapports d'IA, afin de les séparer physiquement de ceux rédigés par des humains.

Ce que cela signifie

C'est un paradoxe : les outils censés améliorer la sécurité la compliquent en réalité. L'IA est utile pour repérer des motifs, mais elle exige un filtrage humain et une compréhension du contexte.

La communauté Linux pourrait avoir à choisir : soit fermer le bug tracker aux outils automatiques, soit instaurer une procédure de vérification des rapports avant leur publication.