L'IA brise les deux cultures de vulnérabilité : divulgation coordonnée contre "les bogues sont des bogues" de Linux

L'article de Jeff Kaufman « AI Is Breaking Two Vulnerability Cultures » examine la tension entre la divulgation coordonnée et l'approche « les bugs sont des bugs » de Linux, accélérée par l'IA. La vulnérabilité Copy Fail (signalée en mai 2026) illustre cette rupture : Hyunwoo Kim a suivi la procédure standard de Linux — signaler en privé à une liste fermée d'ingénieurs en sécurité tout en corrigeant discrètement au vu de tous. Mais quelqu'un a remarqué le diff, a compris les implications de sécurité et a rendu l'information publique immédiatement, mettant fin à l'embargo.

Les deux cultures

• Divulgation coordonnée : Signaler en privé, laisser environ 90 jours aux mainteneurs pour corriger. Objectif : corriger avant que le public ne soit au courant. Mais avec le scan assisté par l'IA, les redécouvertes indépendantes sont courantes — dans ce cas, seulement 9 heures après le signalement de Kim, Kuan-Ting Chen a trouvé indépendamment le même bug.
• Linux « les bugs sont des bugs » : Corriger rapidement sans attirer l'attention. L'argument : si le noyau fait quelque chose de travers, quelqu'un pourrait l'exploiter. Mais à mesure que l'IA devient performante pour trouver des vulnérabilités, le rapport signal/bruit des commits augmente, rendant l'examen plus attractif et moins coûteux.

Pourquoi l'IA change tout

Kaufman a testé trois modèles d'IA sur le correctif (f4c50a403) : Gemini 3.1 Pro, ChatGPT-Thinking 5.5 et Claude Opus 4.7 l'ont tous identifié instantanément comme un patch de sécurité. Même avec seulement le diff (sans contexte), Gemini était certain, GPT probable, Claude probable. Cela signifie que les embargos — même courts — sont de plus en plus fragiles : les défenseurs peuvent aussi utiliser l'IA, mais les attaquants peuvent scanner les commits plus rapidement.

Kaufman suggère des embargos très courts (et les raccourcir encore avec le temps) comme réponse pragmatique, en tirant parti de l'IA pour accélérer les défenseurs. Les longs embargos créent un faux sentiment d'absence d'urgence et limitent qui peut travailler sur les correctifs.

Lisez l'article complet pour une analyse plus approfondie et l'invite spécifique utilisée par Kaufman pour ses tests.