« Les robots ont une patience, une vélocité et un temps infinis que nous n’avons pas. Les humains doivent parfois dormir. » Cette phrase de Christopher « CRob » Robinson, directeur technique de l’Open Source Security Foundation (OpenSSF), résume une crise silencieuse mais croissante, mise en lumière cette semaine au KubeCon + CloudNativeCon Europe 2026 à Amsterdam.
Les outils de scan de sécurité alimentés par l’IA génèrent désormais des centaines de rapports de vulnérabilité pour des projets individuels. Chaque pull request liée à la sécurité nécessite entre deux et huit heures de tri pour un développeur bénévole. Jim Zemlin, directeur exécutif de la Linux Foundation, a qualifié ce phénomène d' »attaque DDoS de contenus IA de mauvaise qualité ». Diginomica a couvert en détail la prise de parole de CRob.
27 rapports sur 30 semblaient corrects… mais étaient faux
L’exemple cité par Robinson est saisissant. Greg Kroah-Hartman, mainteneur du noyau Linux, a reçu 30 rapports générés par IA. 27 semblaient corrects à un développeur junior. Kroah-Hartman – fort de sa connaissance approfondie des composants interconnectés du noyau – les a identifiés comme des régressions potentielles, pas des corrections. Des rapports qui auraient pu casser le noyau si acceptés.
Face à l’avalanche, de nombreux mainteneurs ont réagi en refusant catégoriquement tous les rapports générés par IA. Une réaction compréhensible, mais dangereuse selon Robinson : « Si le chercheur ou l’agent ne peut pas être pris en charge par le projet, il va rendre l’information totalement publique et ruiner la réputation du projet. »
Log4Shell, quatre ans après : 619 millions de téléchargements vulnérables en 2025
Robinson a ancré son alerte dans des données concrètes. Quatre ans après la découverte de Log4Shell, l’une des failles les plus médiatisées de l’histoire de la sécurité informatique, 14 % des artefacts affectés sont encore téléchargés dans leurs versions vulnérables. En 2025 seulement : 619 millions de téléchargements. Pendant ce temps, les recommandations de dépendances générées par IA affichent un taux d’hallucination de 27,76 %, un grand modèle de premier plan recommandant avec « haute confiance » des packages notoirement compromis.
La pression réglementaire aggrave la situation : le Cyber Resilience Act européen pourrait imposer aux mainteneurs bénévoles des obligations légales de répondre aux divulgations de vulnérabilités, au moment précis où ces divulgations explosent en volume. Robinson, qui avait prédit en début d’année un équivalent IA de la vulnérabilité Heartbleed de 2014, estime après un premier trimestre que ce scénario est devenu plus probable. « Nous observons plusieurs répétitions du schéma d’attaque de type XZ – faux comptes, pression sociale, collecte d’identifiants. La communauté soupçonne l’implication de l’IA. »
En réponse, la Linux Foundation a annoncé qu’Anthropic, AWS, GitHub, Google, Microsoft et OpenAI ont engagé 12,5 millions de dollars (11 millions d’euros) via l’initiative OpenSSF et Alpha-Omega pour financer les efforts de sécurité open source. Un signal positif – mais face à des robots infiniment patients, la question reste entière.
