Noyau Linux : bugs de l'IA en rafale, les relecteurs manquent

Trouver des bugs dans le noyau Linux est devenu facile. Les corriger, beaucoup moins. Selon ZDNET, qui a fait le point le 12 novembre 2026, les outils d'IA produisent désormais tant de rapports de bugs et de correctifs que ceux qui doivent les relire s'épuisent, et au moins un mainteneur connu du noyau a cessé de relire la plupart du code.

Une CVE (Common Vulnerabilities and Exposures) est l'identifiant public attribué à une faille de sécurité documentée. Un mainteneur est une personne, bénévole ou salariée, qui est responsable d'une partie du noyau et décide quels correctifs sont intégrés. Un relecteur (reviewer) lit un correctif proposé et vérifie qu'il est correct avant son intégration. Le noyau Linux, cœur du système d'exploitation qui équipe aussi bien les smartphones que les supercalculateurs, repose sur un nombre restreint de ces personnes.

Quelle est l'ampleur du flot de rapports de bugs Linux ?

Selon ZDNET, l'équipe CVE de Linux a signalé en moyenne 27 CVE par jour en 2026, jusqu'au 2 novembre. ZDNET explique ce volume en partie par une règle propre au noyau : sous Linux, n'importe quel bug peut potentiellement être un bug de sécurité.

Selon Tom's Hardware, qui relaie un article de Phoronix du 28 août, le noyau approche 2 000 CVE corrigées par version, contre environ 500 pendant une grande partie de l'ère Linux 6.x. Une diapositive de Greg Kroah-Hartman, mainteneur du noyau stable, préparée pour la conférence Kernel Recipes 2026, montrait des chiffres supérieurs à 1 000 avec Linux 7.0 et à 1 500 avec Linux 7.2. Si la tendance se poursuit, Linux 7.3 pourrait dépasser 2 000, d'après Tom's Hardware.

Tom's Hardware attribue cette hausse surtout à des personnes qui passent au crible, avec des outils d'IA, un code source de plus de 40 millions de lignes accumulées en 35 ans, et non à une baisse soudaine de la qualité du noyau. Ces outils atteignent des recoins obscurs que les humains revisitent rarement et trouvent parfois de vrais défauts : les enregistrements CVE de Linux de cette année créditent déjà l'analyse statique assistée par IA de découvertes ensuite confirmées par Intel Product Security.

L'article de ZDNET ajoute un chiffre côté entreprise. Le FORGE Lab de Microsoft indique que son système d'analyse par IA, MDASH, a produit 59 rapports de bugs sur le noyau Linux en amont, dont une faille vieille d'au moins 21 ans. Selon le laboratoire, transformer ces trouvailles en rapports a demandé plus de quatre personnes-mois, car l'effort humain est le goulot d'étranglement, et il juge la recherche et la correction des bugs radicalement déséquilibrées. Côté Windows, ZDNET note que le dernier Patch Tuesday comptait 726 CVE, en majorité issues de la découverte par IA.

Pourquoi les mainteneurs du noyau s'épuisent-ils ?

La tension se voit à travers des cas nommés. Selon ZDNET, le 10 novembre 2026, Lorenzo Stoakes, ingénieur ARM et mainteneur du noyau, a cessé de relire le code des sections gestion de la mémoire, misc, reclaim et Rust, qu'il couvrait comme relecteur. Il contribue au noyau depuis 2014. Il a écrit qu'avec le débit actuel de séries de correctifs générées par IA, il n'a plus la disponibilité d'offrir une relecture générale, sauf dans les domaines qu'il maintient lui-même. Il ajoute que le « slop » généré par IA apparaissait d'abord de temps en temps, puis chaque semaine, puis tous les quelques jours, et qu'il représente aujourd'hui environ la moitié de ce qu'il voit, voire plus.

Greg Kroah-Hartman, mainteneur du noyau stable, dit la même chose lors d'une séance de questions-réponses à l'Open Source Summit Europe, d'après ZDNET : il n'y a pas assez de personnes pour relire le déluge de correctifs générés par des LLM, et les mainteneurs sont épuisés depuis dix ans. Sa demande est directe : le noyau a besoin de davantage de relecteurs.

Tom's Hardware donne un exemple chiffré côté réseau. Dans la demande d'intégration réseau de Linux 7.3, le mainteneur Jakub Kicinski estime qu'entre un tiers et la moitié des 648 correctifs net-next traités pendant le cycle ressemblaient à des corrections de faible priorité, des nettoyages ou des clarifications poussés par l'IA. Il écrit que l'équipe est complètement submergée.

Cette charge change ce que le noyau conserve. Selon Tom's Hardware, le développeur Andrew Lunn a proposé en avril de supprimer près de 28 000 lignes de code réseau historique pour du matériel de l'époque ISA et PCMCIA, parce que l'IA et les outils de fuzzing se sont mis à trouver des défauts que les mainteneurs se sentaient obligés de corriger, même si personne ne fait tourner ce matériel. Linux 7.3 retire d'anciens pilotes SGI et IBM, et le pilote de système de fichiers FreeVxFS a été supprimé après que son mainteneur a expliqué que ce vieux code de compatibilité servait surtout de pâture aux vérificateurs automatiques de bugs.

La communauté du noyau rejette-t-elle l'IA ?

Non, et Tom's Hardware est explicite sur ce point. Greg Kroah-Hartman a lui-même utilisé des outils de fuzzing assistés par IA, exécutés en local, pour trouver des bugs du noyau. Le reproche vise les productions d'IA non vérifiées confiées aux humains pour validation. Selon Tom's Hardware, il a récemment interdit les correctifs générés par LLM dans le sous-système staging du noyau, sauf pour les corrections de sécurité légitimes, et les consignes mises à jour du noyau préviennent que des rapports générés par IA et soumis sans vérification humaine peuvent faire perdre du temps aux mainteneurs. L'équipe a aussi obtenu l'accès à plusieurs modèles de pointe pour aider à relire les correctifs et filtrer les résultats hallucinés.

Les corrections commencent-elles à rattraper les rapports ?

Il y a des signes précoces, sans rien de concluant. Selon ZDNET, Linus Torvalds a écrit dans un message sur la Linux Kernel Mailing List qu'une grande partie du nouveau code de Linux 7.4-rc2 venait de corrections issues de l'IA. Il dit que, du côté de BPF au moins, les correctifs arrivent désormais plus vite que les nouveaux rapports, que la plupart des autres domaines n'en sont pas là, et que cela pourrait indiquer que la marée tourne. Son conseil : ne pas retenir son souffle.

Greg Kroah-Hartman est moins optimiste. Il a déclaré à ZDNET que le projet se rapproche mais n'y est pas encore, et il refuse de dire quand les correctifs d'IA validés par des humains dépasseront les rapports de bugs d'IA. Daniel Stenberg, créateur du projet cURL et critique virulent des rapports d'IA de mauvaise qualité, a dit à ZDNET qu'il estime que son projet gère assez bien le flot jusqu'ici, même si le volume monte et descend selon la personne qui envoie de nouvelles trouvailles telle semaine.

• 27 CVE par jour : la moyenne de l'équipe CVE de Linux jusqu'au 2 novembre 2026, selon ZDNET.
• Près de 2 000 CVE par version du noyau, contre environ 500 pendant une grande partie de l'ère 6.x, selon Tom's Hardware.
• Entre un tiers et la moitié de 648 correctifs réseau du cycle Linux 7.3 jugés de faible priorité et issus de l'IA, selon le mainteneur Jakub Kicinski.

Qu'est-ce que cela change pour une entreprise ?

Pour une entreprise française qui fait tourner Linux sur des serveurs, des conteneurs, des équipements réseau ou des objets embarqués, la leçon pratique est que le nombre d'avis de sécurité du noyau va continuer à grimper alors que les humains derrière chaque correctif restent rares. Un nombre de CVE ne dit pas grand-chose du risque en soi, car beaucoup de nouvelles entrées concernent des pilotes obscurs ; ce qui compte, c'est lesquelles touchent le matériel et la configuration du noyau que vous utilisez réellement.

Trois habitudes en découlent. Suivez les versions du noyau stable livrées par votre distribution et raccourcissez le délai pour les appliquer. Tenez un inventaire des fonctions et pilotes du noyau que vous activez, afin de trier rapidement les avis. Et si vos équipes déposent des rapports de bugs avec l'aide de l'IA, faites d'abord reproduire chaque problème par une personne, car les consignes des mainteneurs eux-mêmes disent que les rapports non vérifiés leur font perdre du temps. Les entreprises qui dépendent de Linux peuvent aussi aider directement en finançant ou en apportant du temps de relecture, la ressource la plus rare selon Greg Kroah-Hartman.

Une réserve : les sources ne disent pas quand les corrections dépasseront les rapports, et l'observation de Linus Torvalds sur BPF est présentée comme encourageante mais limitée à ce domaine. Mieux vaut voir la période actuelle comme une grosse saison de correctifs que comme une tendance acquise.