L’IA au service du libre : rétro-ingénierie, vibe coding et éditeurs sous pression

En 2026, l’intelligence artificielle s’est installée au cœur du logiciel libre. Elle déniche des failles par centaines : la version 150 du navigateur Firefox en a corrigé 271 d’un coup, repérées avec un modèle d’Anthropic. Elle aide à démonter des logiciels fermés pour en bâtir des équivalents libres. Elle permet même à des personnes qui ne savent pas programmer de publier leurs propres applications. Nous avons voulu mesurer ce que l’IA change vraiment pour celles et ceux qui font vivre les logiciels libres, pour les éditeurs propriétaires et pour vous.

Des failles en masse, des mainteneurs débordés

Le projet curl, un outil libre de transfert de données très répandu, illustre ce basculement. Le 31 janvier 2026, il a fermé son programme de primes aux failles. Lancé en 2019, ce programme avait permis de confirmer 87 vulnérabilités et de verser plus de 100 000 dollars aux chercheurs. Mais en 2025, moins de 5 % des signalements se révélaient être de vraies failles, contre plus de 15 % les années précédentes. L’équipe croulait sous les rapports bâclés, générés par IA.

Puis le vent a tourné. En avril 2026, Daniel Stenberg, créateur et développeur principal de curl, constate que la part de failles confirmées est remontée autour de 15 à 16 %, au-delà de son niveau d’avant l’IA. Presque tous les rapports sont rédigés avec l’aide de l’IA, et la plupart sont de grande qualité. Leur nombre explose : en mai, curl en reçoit en moyenne plus d’un par jour, quatre à cinq fois plus qu’en 2024. Pour la première fois, raconte-t-il, son épouse s’est inquiétée de ses heures de travail.

Tout dépend de qui tient l’outil. En 2025, le chercheur en sécurité Joshua Rogers avait transmis à curl des dizaines de problèmes repérés avec des outils d’analyse fondés sur l’IA. Environ 50 corrections en ont été tirées. Daniel Stenberg y voyait la preuve que l’IA peut être utilisée à bon escient : des outils puissants entre les mains d’un humain habile forment une bonne combinaison. Quant au modèle d’Anthropic qui a brillé sur Firefox, il n’a trouvé qu’un seul problème de faible gravité lors de son premier examen de curl. Pour le créateur du projet, ce résultat est le fruit de décennies de travail acharné sur le code.

Le noyau Linux connaît la même vague. En mai 2026, son créateur, Linus Torvalds, a écrit que le flot de rapports produits par IA rendait la liste de sécurité du noyau presque ingérable, avec d’énormes doublons. Les outils d’IA sont formidables, ajoutait-il, mais seulement s’ils aident vraiment. Greg Kroah-Hartman, l’un des mainteneurs du noyau, ces responsables qui relisent et intègrent le code, a mesuré l’ampleur du phénomène. Son graphique montre environ 500 vulnérabilités répertoriées (CVE) par version entre la 6.9 et la 6.19, et plus de 1 500 pour Linux 7.2. La grande majorité restent toutefois peu prioritaires ou touchent du code obsolète.

Une enquête de la Linux Foundation, publiée le 20 octobre 2026 et financée par Red Hat, confirme la tendance. Parmi les mainteneurs interrogés, 59 % disent recevoir davantage de contributions depuis l’essor de l’IA générative, mais jugent de faible qualité 25 % des demandes de fusion, ces propositions de modification du code. L’étude relève aussi des gains : selon les répondants, l’IA réduit de moitié le temps d’écriture du code, et 71 % des mainteneurs estiment qu’elle abaisse la barrière d’entrée. L’afflux de bugs signalés grâce à l’IA a par ailleurs retardé PostgreSQL 19.

L’IA pèse aussi sur les serveurs du libre. En avril 2025, Wikimedia constatait que la bande passante consacrée aux fichiers multimédias avait augmenté de 50 % depuis janvier 2024. Ce n’étaient pas des lecteurs, mais surtout des programmes qui aspiraient les images libres de Wikimedia Commons pour nourrir des modèles d’IA. Au moins 65 % du trafic le plus coûteux venait de robots, qui ne représentaient pourtant qu’environ 35 % des pages vues. En juillet 2026, la forge associative Codeberg, qui héberge le code de logiciels libres, décrivait à son tour des robots qui tentaient de lire chacune de ses pages.

Notre relevé : dix projets, deux camps

Comment le libre s’organise-t-il face à cette vague ? Nous avons lu, dans leurs propres documents, les règles de dix projets majeurs, telles qu’elles s’appliquent au 3 novembre 2026. Cinq ferment la porte, ou presque. Le conseil de Gentoo a voté, le 14 avril 2024, l’interdiction de toute contribution créée avec l’aide d’une IA de traitement du langage. NetBSD présume contaminé (« tainted ») tout code produit par un grand modèle de langage (LLM), ce type d’IA qui génère du texte et du code. Il ne l’accepte qu’avec l’accord écrit préalable de son équipe dirigeante. QEMU refuse toute contribution soupçonnée d’en contenir.

Zig va plus loin : son code de conduite proscrit les modèles de langage même pour corriger l’orthographe ou traduire un message. Asahi Linux, projet fondé sur la rétro-ingénierie, les écarte aussi, notamment pour une raison juridique sur laquelle nous reviendrons. Ces projets avancent des motifs voisins : un droit d’auteur incertain, une qualité douteuse, un effort de relecture injuste pour les bénévoles, et des griefs éthiques, comme la consommation d’énergie et d’eau. Gentoo résume la critique : les modèles populaires excellent à produire un contenu plausible, mais dénué de sens.

Les cinq autres acceptent l’IA, sous conditions. La documentation du noyau Linux interdit à un agent d’IA de signer une contribution : seul un humain peut en certifier l’origine, et il en assume l’entière responsabilité. LLVM exige qu’un humain relise chaque contribution et en réponde, et proscrit l’IA sur les tâches réservées aux nouveaux venus. Debian, après un vote clos le 28 août 2026, n’encourage ni n’interdit ces outils. Le projet curl impose de signaler l’usage de l’IA dans tout rapport de sécurité. Notre relevé n’est pas un sondage : selon l’étude de la Linux Foundation, rapportée par Next, seuls 10 % des projets interdisent l’IA, et un tiers n’a ni règle ni projet d’en adopter une.

Ghostty, un émulateur de terminal (la fenêtre où l’on tape des commandes), résume l’esprit de ce second camp d’une formule : « It’s the people, not the tools » (le problème, ce sont les gens, pas les outils). Le projet est lui-même écrit avec beaucoup d’aide de l’IA, mais il inscrit sur une liste publique les auteurs de contributions bâclées. Codeberg, de son côté, penche vers le premier camp. En juillet 2026, ses membres ont voté par 358 voix contre 144 l’interdiction des projets « vibe codés », écrits en décrivant à une IA ce que l’on veut. Aucun des projets étudiés ne laisse faire sans condition.

Ouvrir les boîtes noires du logiciel fermé

La rétro-ingénierie consiste à comprendre un logiciel sans disposer de son code source, en examinant le programme tel qu’il est livré. Elle a déjà donné au libre quelques piliers. Samba, réimplémentation libre du protocole de partage de fichiers de Windows, est née fin 1991 de l’analyse du trafic réseau. Wine, qui fait tourner des logiciels Windows sur des systèmes de type Unix comme Linux, repose surtout sur des tests en boîte noire : on observe le comportement d’un programme sans examiner son code.

Ce travail fastidieux protégeait de fait les logiciels fermés ; il devient accessible à un agent d’IA patient, un programme qui enchaîne seul les actions qu’on lui confie. GhidraMCP relie ainsi Ghidra, l’outil de rétro-ingénierie que la NSA américaine a rendu public en 2019, aux modèles de langage, pour décortiquer une application de façon autonome. L’outil REA, que nous avons déjà analysé, est passé de moins de 10 000 à plus de 100 000 étoiles, ces marque-pages des utilisateurs de GitHub, entre le 6 et le 12 octobre 2026. Sa présentation, plus modeste, précise qu’il ne prétend ni retrouver le code source d’origine ni cloner automatiquement une application.

La méthode compte autant que l’outil. Vladimir Varankin a obtenu en deux temps un pilote Wi-Fi, le logiciel qui fait fonctionner la puce, pour le système FreeBSD. Un agent d’IA a d’abord rédigé une spécification à partir du pilote libre de Linux ; le module a ensuite été écrit d’après cette seule description. C’est la méthode de la salle blanche, qui sépare ceux qui connaissent l’original de ceux qui écrivent le nouveau code. Vladimir Varankin réserve toutefois ce pilote aux essais. Chris Lewis a décompilé un jeu de Nintendo 64, c’est-à-dire retraduit en code lisible, en 84 jours, contre 596 pour sa suite, qu’il avait traitée auparavant. Il n’attribue pas tout l’écart à l’IA.

Les logiciels payants sont aussi visés. Début octobre 2026, le développeur Brandon Thomas a présenté sept applications open source qui imitent celles d’Adobe, dont Photoshop, Premiere et Lightroom. Écrites avec l’assistant Claude Opus 5.5, elles relèvent de son projet ArtCraft, lancé en 2025. Il les décrit comme une réimplémentation en salle blanche, sans aucun code d’Adobe ; reste à savoir si l’éditeur partage cette analyse. Le résultat en est au stade de la préversion, et un artiste a jugé le clone de Photoshop complètement inutilisable.

Brandon Thomas dit avoir agi par exaspération, après s’être vu facturer une fois de trop des frais de résiliation par Adobe. En mars 2026, l’éditeur a conclu un accord de 150 millions de dollars avec le ministère américain de la Justice, qui l’accusait de cacher ces frais. Adobe verse 75 millions de dollars au ministère et offre l’équivalent en services gratuits aux clients concernés ; il nie toute faute.

L’exemple le plus utile aux entreprises vient de la virtualisation. Fin août 2026, Broadcom a fermé l’accès public au VDDK, un kit de VMware qui permet de lire ses disques virtuels. Les outils de migration de Microsoft, Red Hat et Nutanix en dépendaient. Broadcom affirme que ce kit n’a jamais fait partie des droits de ses clients et qu’il reste accessible, pour la sauvegarde, via certains partenaires. Le projet libre OpenVDDK l’a réécrit à partir de la documentation publique et de l’observation de l’original. Ses règles autorisent l’aide de l’IA, sous les mêmes tests, relectures et contrôles de licence que le code écrit à la main.

Ce que dit le droit, et la fuite de Claude Code

Cette rétro-ingénierie est-elle légale ? En France, l’article L122-6-1 du Code de la propriété intellectuelle permet à l’utilisateur légitime d’observer, d’étudier ou de tester un logiciel pour en comprendre les idées et principes. Il autorise la décompilation si elle est indispensable pour qu’un logiciel créé de façon indépendante fonctionne avec d’autres. Toute clause de licence contraire est nulle. Mais les informations obtenues ne peuvent servir qu’à cette interopérabilité, jamais à produire un logiciel « dont l’expression est substantiellement similaire ». La directive européenne 2009/24 pose les mêmes limites.

Anthropic, l’éditeur de Claude, protège pour sa part ses propres services. Ses conditions d’utilisation grand public interdisent de les décompiler ou de les rétro-concevoir, sauf là où la loi interdit une telle restriction. Le 31 mars 2026, le code source de son assistant de programmation Claude Code a pourtant fuité, à cause d’un fichier publié par erreur avec le logiciel. L’entreprise a parlé d’une erreur humaine d’empaquetage, et non d’une faille de sécurité.

Anthropic a d’abord fait bloquer des milliers de dépôts sur GitHub, ces espaces où l’on publie du code, avant de réduire sa demande à un peu moins d’une centaine de copies. Le responsable de Claude Code a qualifié ce blocage massif d’accidentel. Dans la foulée est apparu Claw-Code, une réécriture en Python de l’architecture de Claude Code, attribuée au développeur coréen Sigrid Jin avec l’aide de Codex, l’outil d’OpenAI. Ses auteurs assurent qu’il ne contient aucun fichier d’Anthropic.

Selon le site allemand heise, le dépôt de Claw-Code a connu la croissance la plus rapide de l’histoire de GitHub. Le même site souligne un point sensible : Claude Code aurait lui-même été écrit à environ 90 % par l’IA maison d’Anthropic, ce qui pose la question de sa protection par le droit d’auteur. À notre avis, l’épisode montre que le meilleur rempart d’un logiciel fermé n’est plus technique, mais juridique.

La salle blanche, talon d’Achille du copyleft

L’arme se retourne aussi contre le libre. Début mars 2026, Dan Blanchard, responsable depuis 2012 de chardet, une bibliothèque Python qui détecte l’encodage d’un texte, l’a réécrite avec Claude. Il en a également changé la licence : la LGPL a cédé la place à la MIT, puis à la 0BSD, toutes libres. La LGPL est dite « copyleft » : elle oblige à partager sous les mêmes conditions les versions modifiées. La MIT n’impose presque rien. Dan Blanchard, qui n’a jamais été payé pour ce travail, voyait trois obstacles sur sa route : la licence de chardet, sa vitesse et sa précision. En cinq jours environ, il a obtenu une détection 48 fois plus rapide.

Pour prouver l’indépendance du nouveau code, il a publié des mesures de similarité : au plus 1,29 % avec la version précédente. Il reconnaît toutefois que la séparation stricte d’une salle blanche n’existait pas, et le développeur et blogueur Simon Willison a relevé que Claude avait consulté un fichier de l’ancien code. Une personne se présentant comme l’auteur d’origine dénonce une violation de la licence. Sans se prononcer sur ce cas précis, la Free Software Foundation estime que rien n’est « clean », c’est-à-dire propre, dans un modèle qui a ingéré le code qu’on lui demande de réécrire. Richard Fontana, coauteur de la troisième version de la LGPL, ne voit pourtant aucune base pour imposer cette licence à la réécriture.

Les projets de rétro-ingénierie s’en inquiètent aussi. Asahi Linux explique s’appuyer sur la salle blanche pour garantir la légalité de son travail, et juge que les modèles de langage risquent d’en violer les exigences et de contaminer le code obtenu. Armin Ronacher, créateur de l’outil de développement web Flask, s’est réjoui du changement de licence de chardet. Il en tire néanmoins une leçon : le copyleft dépend du droit d’auteur et de la friction, or un code ouvert se réécrit désormais sans peine. L’outil qui aide à libérer un logiciel fermé sait aussi dépouiller un programme libre de ses obligations.

Le logiciel propriétaire a-t-il encore un avenir ?

La facilité nouvelle à reproduire un logiciel a même fait trembler les marchés. Le 12 janvier 2026, Anthropic a présenté Claude Cowork, un agent d’IA conçu pour le travail de bureau, puis, le 30 du même mois, onze modules d’extension open source. Des investisseurs ont craint que l’IA permette de recréer des logiciels populaires, notamment ceux que l’on loue en ligne sur abonnement (SaaS). L’indice S&P Software & Services a perdu 25 % entre le 12 janvier et le 23 février 2026, et une seule séance a effacé plus de 285 milliards de dollars. Un stratège de la banque Jefferies a baptisé l’épisode « SaaSpocalypse ».

La chute n’a pas duré. Début octobre 2026, les valeurs logicielles américaines atteignaient de nouveaux plus hauts pour l’année, et plusieurs analystes jugeaient alors la peur largement exagérée. Selon la lettre d’information The Batch, publiée par DeepLearning.AI, l’IA ne remplace pas facilement les logiciels en ligne fondés sur des données propriétaires, la conformité réglementaire, des effets de réseau ou des transactions intégrées. Le média Decrypt souligne, lui, que tout ce qui tourne sur l’appareil de l’utilisateur devient lisible par un agent d’IA assez patient.

Certains éditeurs resserrent aussi leurs verrous par le contrat et par le prix. Pour l’éditeur Platform9, qui vend sa propre solution de migration, le retrait soudain du VDDK a perturbé des migrations en cours et traduit la volonté d’enfermer davantage les clients. Un analyste du cabinet IDC estime, de son côté, que ce retrait accroît le risque d’enfermement. Le 1er juillet 2026, les tarifs de Microsoft 365 pour les entreprises ont augmenté ; l’entreprise invoque de nouvelles fonctions de sécurité, d’administration et d’IA, comme Copilot Chat. Nous avons détaillé le coût réel de Microsoft 365 et de Google Workspace.

Beaucoup d’éditeurs propriétaires ne survivront pas s’ils comptent sur le secret d’un produit que l’on peut cloner aussi facilement que je l’ai fait.

À notre avis, le logiciel propriétaire ne disparaîtra pas, mais l’une de ses rentes s’effrite : celle du code secret installé chez le client. Ce qui tourne sur les serveurs de l’éditeur échappe à la décompilation, et c’est là que la valeur se déplace, avec l’abonnement et le contrat. Le libre aurait tort de crier victoire. Dans un article de perspective publié en 2024 par la revue Nature, des chercheurs soutiennent que l’ouverture ne suffit pas à réduire la concentration du pouvoir dans l’IA. Ils rappellent que de nombreux projets libres ont déjà été récupérés, de diverses manières, par les géants de la technologie.

Publier sans savoir programmer

Vient enfin la promesse la plus séduisante : permettre à chacun de créer son logiciel par le vibe coding, sans savoir programmer. La personne à l’origine de GithubStarsManager, responsable produit de métier, l’assume sans détour : elle ne sait pas écrire de code. Son application de bureau open source, sous licence MIT, range les dépôts mis en favori sur GitHub. Elle l’a conçue pour son propre besoin : elle ne retrouvait plus les centaines de dépôts accumulés au fil des ans. L’application affiche pourtant plus de 3 600 étoiles, 59 versions et 34 contributeurs. Tout a commencé lors d’un hackathon, un marathon de programmation d’un week-end, avec l’outil bolt.new.

Le projet tient grâce à une discipline : rien n’y entre sans passer une chaîne de contrôles automatiques plus stricte, écrit-elle, que celle de bien des équipes humaines. Un contributeur extérieur y a apporté plusieurs fonctionnalités majeures. Elle reconnaît une faiblesse : l’audit des dépendances signale les problèmes sans les bloquer, et deux alertes de gravité élevée restent ouvertes. D’autres suivent la même voie. Haven, alternative libre (licence AGPL) à la messagerie Discord, tourne chez son utilisateur, sans nuage ni télémétrie. Son auteur, qui n’est pas programmeur de métier, met en avant plus de 650 tests automatiques.

Notre enquête n’a pourtant trouvé aucun logiciel libre de premier plan créé par une personne sans formation de développeur : les projets recensés sont utiles et suivis, mais modestes. L’auteur de Monize, logiciel de comptes personnels qui remplace Microsoft Money, n’est pas programmeur de métier et revendique un code écrit à 100 % par l’IA. Malgré plusieurs audits, il admet ne pas pouvoir en garantir la sécurité. Or, dans une étude publiée en juillet 2025 par Veracode, éditeur d’outils de sécurité, le code de plus de 100 modèles introduisait des failles dans 45 % des cas, sur 80 tâches.

Faut-il encore être du métier ?

Les études récentes nuancent la promesse. En janvier 2026, Anthropic, qui vend des outils de programmation, a publié un essai peu flatteur pour ses propres produits, mené auprès de 52 ingénieurs, surtout débutants. Ceux qui apprenaient avec l’IA ont obtenu en moyenne 50 % à un questionnaire de compréhension, contre 67 % pour ceux qui codaient à la main. Le plus gros écart portait sur le débogage, l’art de repérer et de diagnostiquer les erreurs d’un programme. Les mieux notés se servaient de l’IA à la fois pour produire du code et pour poser des questions de compréhension.

Chez les professionnels, le gain de vitesse reste discuté. Début 2025, l’organisme de recherche METR avait mesuré que l’IA allongeait de 19 % le temps de travail de développeurs chevronnés de logiciels libres. En février 2026, il jugeait probable que l’effet soit devenu plus favorable, tout en précisant que ses données permettaient mal d’en mesurer l’ampleur. Linus Torvalds dit adorer l’idée de l’IA comme « gateway drug », une porte d’entrée vers la programmation. Il invite aussi à une grande prudence dès qu’il s’agit d’un travail sérieux et important.

Simon Willison défend la même ouverture : selon lui, nul ne devrait avoir besoin d’un diplôme d’informatique pour faire exécuter des tâches précises à un ordinateur. Avant de partager un programme écrit en vibe coding, il recommande cependant de le faire vérifier par quelqu’un de plus expérimenté. À notre avis, l’IA donne accès au code, pas à la responsabilité qui va avec.

Ce que nous en retenons

Chez Azure Informatique, nous encourageons le libre, la découverte et les projets de celles et ceux qui ne sont pas développeurs. Ils ont souvent des idées intéressantes, nées d’un besoin concret, et l’IA leur permet désormais de les mettre en forme sans connaissances techniques préalables. La rétro-ingénierie a déjà permis de bâtir des alternatives libres à des logiciels fermés, de Samba à Wine. Assistée par l’IA, elle s’attaque aujourd’hui à de grands logiciels hors de prix ou verrouillés, d’OpenVDDK aux premières répliques libres des outils d’Adobe.

Si vous vous lancez, commencez par un projet personnel, publiez-le sous une licence libre, signalez l’aide de l’IA et ajoutez des tests automatiques. Soumettez le code à la relecture d’une personne compétente avant de confier des données personnelles à l’application. Avant de contribuer à un projet existant, lisez ses règles : certains refusent tout code généré par IA, les autres exigent que vous compreniez ce que vous proposez. Pour une TPE, une PME ou une association, l’épisode du VDDK le rappelle : mieux vaut des formats ouverts et des logiciels libres qu’un outil suspendu au bon vouloir d’un éditeur. Notre accompagnement bénévole et gratuit peut vous y aider, dans la mesure de nos disponibilités, jusqu’à faire tourner une IA chez vous.