Un bot de revue de code propulsé par IA rejette un correctif en inventant une CVE inexistante

Le 29 octobre 2026, Docker raconte comment un bot de revue de code tournant en local via Ollama a refusé un simple bump de version PostgreSQL en citant une CVE qui n’a jamais existé. La leçon vaut pour toute équipe qui branche un agent d’IA sur sa pipeline : la sortie d’un agent est une entrée non fiable, qu’il faut étiqueter et vérifier comme telle.