Ladybird Browser Stops Accepting Public Pull Requests
Face à la menace des contributions automatisées par IA, le projet Ladybird ferme les pull requests publiques pour sécuriser son code avant sa première alpha, un changement radical qui divise la communauté open source.
SYNTHÈSE STRUCTURÉE
Le contexte : Ladybird passe de C++ à Rust avec l’aide de l’IA
En février, Andreas Kling annonce que Ladybird adopte Rust pour remplacer C++, en utilisant l’IA comme outil de conversion. Cette décision provoque des tensions dans la communauté Linux, à la fois sur le choix du langage et sur l’usage de l’IA. L’intervenant précise : « It wasn’t just like, hey, write me a browser in Rust. It was directed engagement with it. » L’IA n’est pas utilisée pour générer du code en aveugle, mais comme un assistant de traduction dirigé.
Le coût de la génération de code plausible approche zéro
Andreas Kling alerte sur un changement économique fondamental : « The cost of generating plausible code is approaching zero. So is the cost of spinning up fake identities, submitting plausible PRs, and engaging convincingly in open source communities. » Pour les projets sensibles comme un navigateur, le modèle « Patches Welcome » devient intenable. L’intervenant souligne que l’IA peut désormais imiter un développeur junior de manière convaincante, rendant la détection des contributions malveillantes extrêmement coûteuse en temps.
Le problème de la vérification des PRs à grande échelle
L’intervenant détaille le casse-tête des mainteneurs : « Even if it takes you 3, 5, 10 messages to work out, if you have 100 different people interacting with you, and let’s say 90 of them are fake, how do you work out which 10 are real without spending a lot of time hyper-analyzing every single interaction? » Même les mainteneurs expérimentés, comme Daniel Stenberg de cURL, ne peuvent pas simplement rejeter tout code suspect, car certains contributeurs utilisent l’IA comme simple outil de traduction, sans intention malveillante.
La décision radicale : fin des pull requests publiques
Le blog officiel de Ladybird annonce : « Going forward, code changes will only be introduced by project maintainers, and we will no longer accept public pull requests. » Toutes les PRs ouvertes sont fermées. L’intervenant précise que cette mesure est déjà en place : « If you go look at the PR list, everything in here is either by a member or a contributor. There are now just no random PRs that are still sitting open. »
La justification : la responsabilité du code incombe au projet
Le blog explique que chaque changement entrant dans Ladybird devient la responsabilité de l’équipe : « It has to fit the architecture, survive refactoring, interact correctly with the rest of the browser, and be understood by the people maintaining it. » L’intervenant résume : « Whether code was typed by hand is beside the point. What matters is who is responsible for it once it enters the browser. » Pour un navigateur qui exécute du code non fiable, une seule vulnérabilité bien cachée peut être fatale.
Pas de système de contribution parallèle
Ladybird refuse toute solution de contournement : « There will not be a separate process for submitting patches by other means. We do not want to create a shadow contribution system through issues, comments, email, or forks. » Les forks et les dumps de patchs ne seront pas traités comme une file d’attente de revue. L’intervenant note que cela évite de créer une charge de travail non officielle.
Des précédents : Lua et SQLite comme modèles
L’intervenant cite deux projets open source qui ne sont pas en contribution ouverte. Lua explique : « Lua is our language. […] Ultimately, we decide. We do not do this because we consider our judgment better than others. It is only because we want Lua to be the language we want it to be. » SQLite, quant à lui, n’accepte que des patches accompagnés d’un affidavit de dédicace dans le domaine public, pour éviter toute contamination de licence.
Le contraste avec l’esprit initial du projet
L’intervenant montre des extraits où Andreas Kling se réjouissait de l’afflux de nouveaux contributeurs : « It’s awesome to see so many people. Somehow every month we’re always welcoming new people. » En mars, 19 des 49 contributeurs étaient des primo-arrivants. L’intervenant commente : « I don’t think this is something he wanted to do. I think this is someone who understands the direction that things are going. »
Les réactions négatives de la communauté
Les critiques fusent : « What a horrible change on so many levels. Defeats a lot of the benefit of FOSS in my opinion. » Un autre commentaire : « Feels like this post is almost written as if you guys forgot the concept of simply reviewing PRs before merging them. » L’intervenant répond que le problème n’est pas la revue, mais le volume de « slop » à filtrer quand on ne peut plus faire confiance à l’origine des PRs.
L’inquiétude sur l’avenir du projet
Un commentaire résume la crainte : « Only existing developers can contribute. What happens as those developers get bored or burnt out and leave? Is this going to just become a commercial project where only employees work on it? » L’intervenant partage cette inquiétude : « My hope is post-alpha they start allowing new maintainers to come in, but we will see what they do then. » Il craint que le projet ne devienne un projet fermé, réservé aux employés de Ladybird.
CONCEPTS CLÉS
- PR (Pull Request) : Mécanisme de contribution où un développeur propose des modifications de code à un projet, généralement via une plateforme comme GitHub.
- Alpha release : Version préliminaire d’un logiciel, instable et incomplète, destinée aux tests internes et aux premiers utilisateurs avertis.
- Fork : Copie indépendante d’un dépôt de code, permettant à un développeur de modifier le projet sans affecter l’original.
- Affidavit : Déclaration écrite sous serment, utilisée par SQLite pour garantir que le code soumis est libre de droits et non contaminé.
CONCLUSION
La décision de Ladybird de fermer les contributions publiques est une réponse pragmatique à une menace réelle : l’IA permet désormais de produire des patches crédibles à moindre coût, rendant le modèle traditionnel de confiance par l’effort obsolète. Pour un navigateur, où une seule vulnérabilité peut compromettre des millions d’utilisateurs, cette mesure de précaution est compréhensible, même si elle brise l’idéal d’ouverture qui a fait le succès de l’open source. L’avenir dira si Ladybird saura rouvrir des voies de contribution après l’alpha, ou si ce précédent marque un tournant pour les projets sensibles face à l’IA.