Noyé sous les signalements générés par l’IA, curl rendra publiques ses failles mineures

« Nous voulons éviter de nous noyer. » Le 20 octobre 2026, Daniel Stenberg, créateur et principal mainteneur de curl, a annoncé un changement radical : à partir du 26 octobre, les failles de gravité faible ou moyenne devront être signalées publiquement, sur GitHub. Seules les failles graves et critiques resteront traitées en privé.

curl, un outil que vous utilisez sans le savoir

curl est un petit logiciel libre qui sert à transférer des données sur Internet. Il est intégré dans des milliards d’appareils : smartphones, voitures, consoles, téléviseurs, serveurs. Une faille dans curl peut donc concerner presque tout le monde, ce qui explique le soin apporté à sa sécurité.

Pourquoi les failles restent d’habitude secrètes

Le principe de la divulgation responsable est simple : un chercheur qui trouve une faille la signale en privé, les développeurs préparent un correctif, puis tout est publié en même temps. Les pirates n’ont ainsi pas le temps d’exploiter la faille avant qu’une correction existe. curl recevait ces signalements privés sur la plateforme HackerOne.

L’avalanche des signalements à l’IA

Ce système ne tient plus. Daniel Stenberg décrit une « avalanche de signalements » qui ne faiblit pas, et des mainteneurs « épuisés, surchargés, poussés à bout ». Depuis quelques années, plus de 90 % des signalements se révèlent de gravité inférieure à « élevée ». Selon The Register, des chercheurs équipés d’IA génèrent des combinaisons d’options improbables, que personne n’utilise en pratique, et présentent la moindre anomalie comme une faille. Dès qu’un correctif est publié, une « armée » de chercheurs le soumet aussi à leurs modèles pour trouver des erreurs voisines. curl avait déjà fermé son programme de primes aux bogues cette année pour la même raison.

Le pari du public

En ouvrant le processus, le projet espère partager la charge : tout le monde pourra examiner un signalement, proposer un correctif ou repérer un problème voisin. Le revers est assumé : une faille publique laisse plus de temps aux attaquants. C’est pour cela que la mesure se limite aux failles mineures, « au moins, ces problèmes ne sont pas terribles », écrit le mainteneur, qui prévient que ce ne sera peut-être pas sa dernière mesure.

Pour les utilisateurs, rien ne change : curl continuera de publier des correctifs, et il suffit comme toujours d’installer les mises à jour de son système, de son téléphone ou de ses appareils. Le signal inquiète davantage pour le logiciel libre en général. Si un projet aussi solide que curl peine à suivre, des milliers de projets plus modestes, tenus par une ou deux personnes, risquent d’être submergés à leur tour.

En bref

• Dès le 26 octobre 2026, les failles faibles et moyennes de curl seront signalées publiquement sur GitHub.
• Seules les failles graves et critiques resteront traitées en privé.
• Les mainteneurs sont submergés par des signalements souvent générés avec l’IA.
• Plus de 90 % des signalements reçus ces dernières années étaient de gravité inférieure à « élevée ».

Sources : Daniel Stenberg, blog (20 octobre 2026) ; The Register (20 octobre 2026).

Le Bien Heureux · Rédaction Capibara · Mercredi 21 octobre 2026