Le navigateur Ladybird met fin aux pull requests publiques en raison de préoccupations liées à l'IA et à la sécurité, car la GenAI produit rapidement d'importantes contributions de code, mais avec des risques

Le navigateur Ladybird met fin aux pull requests publiques en raison de préoccupations liées à l'IA et à la sécurité, car la GenAI produit rapidement d'importantes contributions de code, mais avec des risques

Le navigateur Ladybird a décidé de ne plus accepter les pull requests publiques à l'approche du lancement de sa version alpha, invoquant des préoccupations liées à l'intelligence artificielle (IA) et à la sécurité. Dirigé par son créateur, Andreas Kling, le projet limitera ainsi les modifications du code aux mainteneurs afin de réduire les risques liés au code généré par l'IA, qui pourrait introduire des vulnérabilités cachées dans le navigateur. Dans le cadre de ce changement, les forks externes et les dépôts de correctifs ne seront plus considérés comme une file d'attente de révision et les contributeurs sont invités à se concentrer sur les rapports de bogues, les tests, les rapports de sécurité et les commentaires techniques qui permettent d'améliorer le projet.

Ladybird est un navigateur web open source développé par la Ladybird Browser Initiative, une organisation à but non lucratif dédiée au développement du navigateur. Il est distribué sous licence BSD à deux clauses. Une version alpha est prévue pour 2026, une version bêta est attendue en 2027, et une version stable destinée au grand public est prévue pour 2028. À l'origine composant de SerenityOS, il est désormais développé en tant que projet autonome. L'initiative est entièrement financée par des dons, avec Cloudflare, FUTO, Shopify et 37signals parmi ses sponsors.

Le navigateur Ladybird a annoncé qu'il n'accepterait plus les pull requests publiques, limitant ainsi les modifications du code aux mainteneurs du projet, alors que l'équipe se prépare à lancer sa première version alpha. Son créateur, Andreas Kling, a expliqué que cette décision faisait suite à l'essor de l'IA générative, qui est désormais capable de produire rapidement d'importantes contributions de code, même lorsque l'auteur n'en comprend pas pleinement les implications en matière de sécurité ou de fonctionnalité.

Cette décision fait suite à l'annonce par Ladybird de la réécriture de certaines parties de sa base de code C++ en Rust, un langage choisi pour ses garanties de sécurité et la maturité de son écosystème. Selon son fondateur, Andreas Kling, ce portage a déjà généré environ 25 000 lignes de code Rust et s'est appuyé sur une utilisation structurée et dirigée par l'homme d'outils de codage IA tels que Claude Code et Codex.


L'équipe souligne que cela revêt une importance particulière pour un navigateur, car celui-ci traite du contenu non vérifié provenant d'Internet directement sur les machines des utilisateurs. Une seule faille cachée pourrait mettre les utilisateurs en danger, tandis que l'examen des pull requests générées par l'IA alourdirait la charge de travail et les responsabilités des mainteneurs. Dans le cadre de ce changement, toutes les pull requests publiques en cours sont en cours de clôture, et les forks externes ne seront plus considérés comme des files d'attente informelles pour la révision.

Les contributeurs sont désormais invités à se concentrer sur les rapports de bogues, les cas de test simplifiés, les discussions sur les normes, les tests du site web, les rapports de sécurité et les commentaires techniques. Ladybird reste un projet open source, dont le code source est toujours accessible au public, mais le projet renforce les critères d'intégration du code dans le dépôt officiel, car les contributions générées par l'IA sont de plus en plus difficiles à évaluer.

Voici le communiqué de Ladybird :

«

Aujourd’hui, nous modifions la manière dont le code est intégré au projet Ladybird.

Nous n’accepterons plus les pull requests publiques. Désormais, seules les mainteneurs du projet pourront apporter des modifications au code source de Ladybird.

Ladybird entre dans une nouvelle phase. Alors que nous nous préparons à notre première version alpha, le projet a besoin d’un processus de développement plus rigoureux, d’un modèle de sécurité plus clair et d’un cercle restreint de personnes responsables du code intégré au navigateur.

Ce n'est pas une décision que nous prenons à la légère. Au fil des ans, de nombreuses contributions précieuses sont venues de personnes extérieures au groupe des mainteneurs, et nous leur en sommes reconnaissants. Beaucoup d'entre nous ont d'ailleurs fait leurs premiers pas dans l'open source en envoyant des correctifs aux projets qui nous tenaient à cœur.

Depuis des décennies, c'est grâce aux contributions de code que les projets open source ont appris à qui faire confiance. Les gens se manifestaient, faisaient le travail, assumaient la responsabilité de leurs modifications et restaient dans la communauté. Au fil du temps, la confiance s'est forgée à partir du travail lui-même.

Les outils d'IA ont très rapidement bouleversé la donne dans ce domaine. Nous les utilisons nous-mêmes tous les jours, mais une pull request ne nous en dit plus autant qu'avant sur la personne qui la soumet. Autrefois, un correctif important impliquait un effort considérable, et cet effort constituait un indicateur raisonnable de bonne foi. Cette hypothèse ne tient plus.

Pour un navigateur, c'est crucial. Un navigateur exécute sur l'ordinateur de l'utilisateur des données non vérifiées provenant de l'ensemble d'Internet, et il suffit à un pirate d'une seule faille bien dissimulée. Nous avons déjà observé, dans le domaine de l'open source, des campagnes menées avec patience et des moyens importants pour gagner la confiance des mainteneurs et en abuser. Ce qui a changé, c'est qu'il est désormais beaucoup plus rapide et moins coûteux de produire un travail qui ressemble à une contribution sérieuse.

Par ailleurs, chaque modification intégrée à Ladybird relève désormais de notre responsabilité. Elle doit s'intégrer à l'architecture, résister aux refactorisations futures, interagir correctement avec le reste du navigateur et être compréhensible pour les personnes chargées de sa maintenance.

Que le code ait été tapé à la main ou non n'a aucune importance. Ce qui compte, c'est qui en est responsable une fois qu'il est intégré au navigateur. Ladybird est en train de devenir un navigateur destiné à de vrais utilisateurs. Les personnes qui y apportent des modifications doivent être celles qui décident que ces modifications ont leur place dans le projet, et qui en assumeront les conséquences.

Dans le cadre de ce changement, nous allons fermer toutes les pull requests publiques actuellement ouvertes. Nous sommes reconnaissants du travail que chacun y a consacré, mais le fait de laisser la file d'attente existante ouverte reviendrait, dans la pratique, à maintenir cette voie de contribution ouverte. Il n'y a pas de moment idéal pour effectuer ce changement, c'est pourquoi nous le faisons dès maintenant. À l'avenir, les pull requests ne seront accessibles qu'aux mainteneurs de projets.

Il n'y aura pas de procédure distincte pour soumettre des correctifs par d'autres moyens. Nous ne souhaitons pas créer un système parallèle de contribution via des tickets, des commentaires, des e-mails ou des forks. Le code externe peut bien sûr exister dans le respect des conditions de la licence, mais nous ne considérerons pas les forks ni les dépôts de correctifs comme une file d'attente de révision pour le projet Ladybird en amont.

Ladybird reste un projet open source. Le code source continuera d'être accessible au public sous une licence open source. La participation de la communauté reste essentielle : des rapports de bogues clairs, des corrections, des tests du site web, des discussions sur les normes, des discussions sur la conception, des rapports de sécurité et des commentaires techniques contribuent tous à faire avancer le projet.

C'est le changement qu'il faut à Ladybird en ce moment. Nous nous préparons à mettre un navigateur à la disposition d'utilisateurs réels, et notre processus de développement doit être à la hauteur de cette responsabilité.

»

La prudence affichée par Ladybird à l'égard du code généré par l'IA trouve un écho dans plusieurs études récentes consacrées à la qualité des contributions assistées par l'IA. Une étude récente menée par CodeRabbit sur 470 pull requests open source publiées sur GitHub a révélé que le code généré par l'IA comportait plus de bogues et d'erreurs que le code produit par l'homme. Selon cette étude, les pull requests effectuées à l'aide de l'IA présentaient en moyenne 10,83 problèmes, contre 6,45 pour celles rédigées uniquement par des développeurs humains. CodeRabbit a également souligné que les défauts liés à la logique, à la maintenabilité, à la sécurité, aux performances et à la lisibilité étaient plus fréquents dans le code généré par l'IA.

Source : Ladybird

Et vous ?

Quel est votre avis sur le sujet ?
Trouvez-vous cette initiative de Ladybird cohérente et pertinente ?

Voir aussi :

Le créateur de SerenityOS travaille sur Ladybird, un tout nouveau navigateur indépendant et conforme aux normes Web, qui ne s'appuie sur aucun code d'autres navigateurs et aucun moteur de recherche par défaut

Le navigateur Ladybird commencera à utiliser le langage Swift au lieu de C++ cet automne, car Swift offre une sécurité de la mémoire et est également un langage moderne avec une ergonomie solide

Ladybird, le projet qui vise à créer un navigateur indépendant, est désormais piloté par une organisation à but non lucratif avec une contribution de 1 million de dollars du fondateur de GitHub