OpenAI corrige les bugs open source des projets

OpenAI lance Patch the Planet, un programme avec Trail of Bits qui cible les bugs open source. Codex Security pilote l’analyse, des ingénieurs sécurité revoient chaque finding avant de le remonter aux mainteneurs.

Pour résumer

• OpenAI s’associe à Trail of Bits pour patcher les bugs open source via le programme Patch the Planet
• Codex Security analyse les projets, les ingénieurs Trail of Bits filtrent les findings avant d’écrire aux mainteneurs
• L’objectif assumé est de soulager des mainteneurs déjà submergés par les rapports automatisés

Le programme qui attaque les bugs open source

OpenAI a annoncé Patch the Planet le 22 juin. Le programme vise les bugs open source des projets utilisés par tout l’écosystème logiciel, des bibliothèques de base aux outils ligne de commande qui tournent sur des millions de serveurs.

Le partenaire principal est Trail of Bits, une société de sécurité reconnue dans l’audit de code et la recherche de vulnérabilités. Ses ingénieurs sécurité prennent la main sur la revue des findings avant tout contact avec les mainteneurs.

Le moteur d’analyse est Codex Security, la déclinaison sécurité du produit Codex d’OpenAI. Il scanne le code à la recherche de motifs vulnérables, puis remonte une liste de findings que les ingénieurs Trail of Bits trient et qualifient.

Selon le communiqué OpenAI, les ingénieurs sécurité revoient les résultats avant qu’ils n’arrivent aux mainteneurs, travaillent avec les projets pour développer les patches et les tests, et construisent des workflows réutilisables sur d’autres dépôts. Le détail figure dans l’initiative Patch the Planet d’OpenAI pour la maintenance open source.

La citation OpenAI sur la motivation est sans détour. Les mainteneurs reçoivent déjà plus de rapports, plus rapidement, avec les mêmes ressources qu’il y a deux ans. Le programme est présenté comme une couche d’aide humaine entre l’automatisation et les développeurs bénévoles.

Pourquoi OpenAI ouvre ce front maintenant

L’open source porte une grande partie du code qui équipe les modèles IA eux-mêmes. Quand des bugs open source dorment dans une dépendance critique, c’est toute la chaîne en aval qui est exposée, y compris l’infrastructure des laboratoires comme OpenAI.

L’initiative s’inscrit dans une séquence d’annonces où OpenAI multiplie les terrains. Quelques jours plus tôt, Samsung Corée a déployé ChatGPT Enterprise et Codex à tous ses salariés, dans ce qu’OpenAI décrit comme l’un de ses plus gros contrats entreprise. Pour mémoire, à lire aussi sur Horizon : OpenAI Codex vise les emplois de bureau en entreprise.

Ces mouvements ne sont pas désintéressés. Le déficit annoncé à 34 milliards de dollars avant l’entrée en bourse pousse OpenAI à élargir la surface de ses produits et à occuper des terrains hors abonnement payant. Patch the Planet n’est pas monétisé, mais il consolide la position d’OpenAI dans la chaîne logicielle.

Trail of Bits y trouve aussi son compte. Le cabinet vend habituellement ses audits aux entreprises. Devenir le filtre humain entre une IA et l’écosystème open source lui offre une exposition rare, et un terrain d’entraînement grandeur réelle pour ses propres workflows.

Côté grand écosystème, la question sous-jacente est celle des rapports automatisés générés par IA. Les mainteneurs croulent depuis 18 mois sous des findings souvent faux ou redondants. Patch the Planet propose un modèle inversé, l’IA en amont et un humain qui filtre avant d’écrire.

À voir également sur Horizon :

• Sam Altman accuse les chercheurs d’avoir freiné l’IA
• Samsung Corée bascule entièrement sur ChatGPT et Codex
• Signal alerte : les chatbots IA ne sont pas vos amis

Ce que ça change pour la sécurité du logiciel

À court terme, les mainteneurs des projets pris dans le programme gagnent un interlocuteur humain qualifié. Les findings arrivent triés, avec une proposition de patch et des tests associés. Le temps gagné côté maintenance est immédiat sur les projets retenus.

À moyen terme, le format du programme est ce qui compte. Si Patch the Planet démontre qu’un duo IA plus humain qualifié réduit la pollution des rapports automatisés, d’autres labs vont être obligés de suivre. Anthropic et Google ont les outils pour répliquer le modèle.

Une zone grise reste ouverte. La propriété intellectuelle des patches, la responsabilité en cas de régression, le traitement des projets exclus du périmètre. OpenAI n’a pas communiqué de critères de sélection des projets, ni de durée pour le programme.

Pour la supply chain logicielle, le sujet est stratégique. Les attaques par dépendance se sont multipliées, et les bugs open source non corrigés descendent potentiellement jusqu’aux serveurs de production des entreprises. Couper ce circuit en amont vaut plus qu’un audit ponctuel.

Le test grandeur réelle se jouera dans la qualité des findings remontés aux mainteneurs. Si Trail of Bits livre des correctifs propres et adoptés, OpenAI prouve qu’un modèle peut servir le bien commun sans vendre d’abonnement derrière. Si la qualité dérape, le programme rejoint la liste des initiatives ouvertes en grande pompe puis abandonnées.

Affaire à suivre sur Horizon.