Linux 7.3-rc3 expose la saturation des mainteneurs face aux correctifs générés par IA
Le 13 septembre 2026, Linus Torvalds a publié Linux 7.3-rc3, un candidat « encore assez gros » porté par XFS et le client SMB, sur fond d’avertissement de Greg Kroah-Hartman : les correctifs générés par IA submergent les mainteneurs. Suivez la politique Assisted-by et mesurez ce que la vague d’IA change pour qui contribue au noyau.
13 septembre 2026. Linus Torvalds publie Linux 7.3-rc3, un candidat qu’il décrit comme « another fairly large rc release », avec une empreinte systèmes de fichiers plus lourde que d’habitude, portée par XFS et le client SMB. Greg Kroah-Hartman. Son avertissement, lancé en début de cycle et répété depuis, porte sur autre chose : les correctifs générés par IA submergent les mainteneurs. Pourquoi c’est important : l’IA trouve de vrais bugs, mais elle encombre aussi la file de ceux qui doivent les relire.
Ce que rc3 corrige réellement
Le troisième candidat porte un lot systèmes de fichiers plus important qu’attendu à ce stade du cycle. XFS reçoit des correctifs d’annotation de verrous et une correction du moniteur de santé, portés en grande partie par Darrick J. Wong (50 patches) et Christoph Hellwig (11 patches d’annotation de verrous). Le client SMB corrige un débordement de tas dans la réécriture des propriétaires et groupes de DACL, rejette des offsets de données hors bornes et répare une corruption de reparse point WSL introduite depuis la fusion de la 7.2.
Les correctifs de sécurité mémoire, souvent signalés par le fuzzer syzbot, traversent ppp_async, iommu/riscv et la validation du nombre de tuiles du sous-système média. Landlock reçoit une correction de use-after-free. Torvalds insiste sur le point qu’il juge important : le gros du patch est encore du côté des pilotes, « mainly sound and networking drivers », les pilotes GPU restant modestes.
Les chiffres donnent l’échelle. rc3 compte 513 patches distincts de 216 contributeurs uniques, et la fenêtre git entre rc2 et rc3 tient environ 733 commits. À 7.3-rc1, l’arbre pesait 40,98 millions de lignes, contre 40,42 millions à la base de la 7.2. Le pilote AMDGPU à lui seul en revendique 6,52 millions, soit environ 16 % du noyau.
L’avertissement de Greg Kroah-Hartman n’est pas de l’alarmisme
Kroah-Hartman a tiré la sonnette d’alarme début septembre, après avoir passé en revue les soumissions du sous-système USB. Son problème n’est pas que les patches IA soient tous mauvais : c’est qu’il ne peut pas les séparer efficacement des correctifs authentiques. Rejeter trop vite, c’est risquer de manquer un vrai bug. Alors les mainteneurs font le travail : lire, tester, répondre. Multiplié par des milliers de soumissions de faible qualité, ce sont de vraies heures d’ingénierie parties en fumée.
Le sous-système réseau a les chiffres les plus clairs. Jakub Kicinski, qui maintient net et net-next avec Paolo Abeni, estime qu’entre un tiers et la moitié des 648 patches de net-next de ce cycle étaient des « AI-driven low priority fixes, cleanups and clarifications ». Son constat tient en trois mots : « We are completely overwhelmed. » Le développement ARM64 en a payé le coût direct : des fonctionnalités qui auraient dû atterrir dans la 7.2 ont glissé, les mainteneurs étant consumés par le bruit. La fenêtre de fusion de la 7.3 s’est fermée comme la deuxième plus grande de l’histoire du noyau, à 15 267 commits.
L’arithmétique des CVE est réellement compliquée
Voici la vérité inconfortable : l’IA trouve de vrais bugs. Le noyau approche les 2 000 correctifs de CVE par version, contre environ 500 à l’ère des 6.x. La version ponctuelle 7.2.3 a livré à elle seule 71 correctifs de sécurité, dont beaucoup signalés par des outils automatisés d’IA qui scannent plus de 40 millions de lignes de code. C’est une amélioration de la sécurité qui n’existait pas avant.
Le coût, c’est la bande passante des mainteneurs. Relire des milliers de patches de CVE par cycle n’est pas à l’échelle humaine. Andrew Morton, qui gère l’arbre MM, a recruté Gemini de Google ce cycle pour rédiger ses résumés de séries de patches, après avoir reçu 1 250 e-mails « added-to-MM », contre 920 au cycle précédent. Ses mots : « I recruited Gemini to draft many of the bullets and then I did a review/edit pass. I think the result is better(?). » De l’IA qui relit des patches générés par IA.
La politique de contribution se fissure déjà
Le noyau Linux a publié sa première politique formelle de contribution IA en avril 2026 : un humain doit signer le Developer Certificate of Origin, l’usage d’IA doit être déclaré par une étiquette « Assisted-by », et le soumissionnaire humain porte l’entière responsabilité légale. C’était le premier grand document de gouvernance open source du genre.
Cette politique est déjà sous pression. Christian Brauner a soutenu en juillet que l’étiquette transformait l’historique git en « a free advertising platform for AI companies ». Jeff Layton a proposé de la supprimer, citant un faible ratio signal sur bruit et une adoption inégale. Le débat est actif et non résolu. Pendant ce temps, Meta déploie de l’IA pour relire les patches entrants avant qu’ils n’atteignent les mainteneurs humains : de l’IA pour filtrer l’IA, à l’échelle.
Ce que ça change si vous contribuez
Si vous soumettez des patches au noyau, le climat actuel est impitoyable pour tout ce qui ressemble à de l’IA. Les mainteneurs repèrent le style, la qualité et le contenu plus vite qu’avant. Un patch de faible qualité n’est pas seulement rejeté : il coûte au relecteur un temps qu’il n’a pas. L’exigence formelle est l’étiquette « Assisted-by » si vous avez utilisé des outils d’IA. L’exigence pratique est que votre patch soit indiscutablement correct et vaille le temps de lecture d’un mainteneur.
La vérification de sa propre chaîne de contribution se fait en quelques commandes :
# Vérifier qu'un commit porte bien l'étiquette Assisted-by s'il a utilisé de l'IA
git log -1 --format='%B' | grep -i 'assisted-by' || echo "aucune étiquette Assisted-by"
# Vérifier la version du noyau en cours d'exécution
uname -rLa 7.3 stable reste visée pour le 18 octobre, avec un glissement possible au 25 octobre si le rythme des patches ne se calme pas. Le noyau sortira. La vraie question est de savoir si la communauté trouve un modèle durable pour les contributions IA avant le prochain cycle, ou si la 7.4 récoltera le même avertissement de Greg Kroah-Hartman.
Verdict
Linux 7.3-rc3 raconte deux histoires en même temps : un noyau qui durcit sérieusement ses systèmes de fichiers et sa mémoire, et une communauté de mainteneurs qui commence à ployer sous un afflux de patches générés par IA. Si vous contribuez au noyau, soyez plus rigoureux que jamais : étiquette « Assisted-by » systématique et patch prouvablement correct. Si vous consommez simplement le noyau, la leçon est ailleurs : l’IA augmente la cadence de correction des CVE, mais la qualité de ce qui entre en amont dépend encore d’humains qui ont moins de temps pour relire. Surveillez la fenêtre 7.3 d’octobre, et la politique de contribution qui se joue en ce moment même.