Le noyau Linux entre dans l'ère de l'IA, mais c'est vous qui portez le chapeau

• Les agents IA ne peuvent pas ajouter la balise Signed-off-by. Cette signature constitue le Certificat d'Origine du Développeur (DCO, ou Developer Certificate of Origin), un engagement juridiquement contraignant. La politique est sans équivoque : seule une personne physique peut légalement certifier ce document . Une IA n'a aucune existence légale.
• Une nouvelle balise Assisted-by est recommandée, sans être obligatoire. La politique encourage, mais n'impose pas, aux développeurs de signaler l'utilisation d'un outil d'IA . L'objectif est la transparence, pas la rigidité.
• L'humain porte l'entière responsabilité légale et technique. La personne qui soumet le correctif est comptable de chaque ligne de code générée par l'IA, ainsi que de tout bug ou faille de sécurité qui en découle . Il n'y a aucune exception.
• La compatibilité des licences est non négociable. Tout code produit par IA dans le cadre d'une contribution doit être compatible avec la licence GPL-2.0 uniquement du noyau . Il s'agit d'une protection contre une éventuelle contamination de licence par des modèles d'IA entraînés sur du code aux licences incompatibles.

L'approche de Torvalds est, comme toujours, d'une franchise radicale. Il a qualifié les débats sans fin sur l'IA dans la documentation de « postures stériles » et a affirmé que la documentation est destinée aux « acteurs de bonne foi », pas aux personnes qui soumettent du spam généré par IA de toute façon . La vraie défense, selon lui, c'est que « n'importe qui peut envoyer des ordures, mais les mainteneurs peuvent les ignorer » . Cette politique n'est donc pas conçue pour arrêter les acteurs malveillants, mais pour créer un cadre où les développeurs sérieux agissent de manière responsable.

Le point de rupture : un raz-de-marée « ingérable » de bugs fictifs

Si la politique de soumission était proactive, la règle sur les signalements de sécurité est une réaction directe à une véritable crise. En mai 2026, Torvalds a annoncé publiquement que la liste de diffusion de sécurité privée du noyau Linux était devenue « presque totalement ingérable » . En cause : un volume écrasant de rapports de vulnérabilités générés par l'IA.

Ces signalements n'avaient rien de trouvailles de haute volée. Il s'agissait de rapports éclairs, souvent redondants ou totalement « hallucinés » par l'IA, envoyés par des personnes qui ne comprenaient pas le code qu'elles prétendaient analyser . Torvalds les a décrits comme provenant de « contributeurs drive-by » qui envoient un rapport au hasard puis disparaissent, sans même vérifier si le problème a déjà été corrigé, ni comprendre le sous-système qu'ils examinent .

La documentation mise à jour impose désormais une règle simple : si vous trouvez un bug potentiel à l'aide d'un outil d'IA, vous devez le signaler publiquement au mainteneur concerné. Les signalements sont bannis de la liste de sécurité privée et doivent être en texte brut, concis, et inclure une méthode vérifiée pour reproduire le bug . La préférence de Torvalds est encore plus nette : il souhaite que les contributeurs qui identifient de vrais problèmes comprennent la chose en profondeur et soumettent un correctif, plutôt que de simplement envoyer un rapport .

Les trois casse-têtes que l'IA pose au monde de l'open source

La politique à deux volets du noyau Linux est un microcosme des défis plus vastes que le code généré par IA pose à l'ensemble des projets open source. La crise sur la liste de sécurité et la règle de responsabilité stricte mettent en lumière trois problèmes systémiques.

1. L'épuisement des mainteneurs à l'échelle industrielle

La maintenance des projets open source est déjà une activité à fort taux d'épuisement, avec une capacité de relecture limitée. Les outils d'IA multiplient le volume des soumissions par des ordres de grandeur, mais le nombre d'heures humaines disponibles pour les évaluer reste fixe . Le rapport signal sur bruit s'effondre. La réponse du noyau est un pari sur le triage : expliciter suffisamment les règles pour que les contributions de mauvaise qualité, générées par l'IA, puissent être écartées rapidement et sans état d'âme.

2. Le vide juridique de la responsabilité

L'assurance qualité traditionnelle de l'open source repose sur la réputation d'un développeur et sur l'engagement juridique du DCO (la balise Signed-off-by). Un agent IA ne fournit ni l'un ni l'autre. Il peut produire du code qui a l'air correct mais qui est subtilement erroné ou plagié. La solution du noyau consiste à ancrer toute la responsabilité sur le contributeur humain, rendant impossible de blâmer une IA pour un correctif catastrophique . Cela place cependant un fardeau de gouvernance sur l'humain, que de nombreux projets plus petits et moins structurés pourraient avoir du mal à reproduire ou à faire appliquer.

3. La fracture dans les LLMs : Copilot toléré, le « slop » banni

Un détail remarquable de la nouvelle politique est une exception explicite : GitHub Copilot, l'assistant de codage IA détenu par Microsoft, est explicitement autorisé pour les contributions au noyau . La distinction faite par les mainteneurs n'est pas entre « IA » et « humain », mais entre un développement assisté et soigné, et une automatisation irresponsable. Le terme « AI slop » est devenu le raccourci officiel pour cette dernière . Cela crée une réalité nouvelle et inconfortable pour les contributeurs, où le même outil peut être utilisé de manière responsable ou imprudente, la communauté ne pouvant compter que sur la confiance qu'elle accorde au développeur humain pour faire la différence. La nouvelle politique ne résout pas entièrement ce problème : elle transfère la responsabilité au développeur et au mainteneur pour qu'ils se débrouillent entre eux .