Résumé

  • Le responsable de la fondation Erlang dit que son autorité de numérotation CVE est passée d’environ dix dossiers l’an dernier à une prévision supérieure à 500 cette année.
  • L’IA accélère la découverte. Vérifier une faille, joindre le mainteneur et sortir un correctif restent des tâches à financer et à organiser.

On peut accélérer le radar sans accélérer le mécanicien. À RIPE 93, Alistair Woodman, président du conseil de l’Erlang Ecosystem Foundation, a raconté l’année de son équipe CVE : environ dix dossiers l’an passé, plus de 500 attendus cette année. Il parle d’un facteur cinquante. Le nombre de fin d’année reste à venir; la charge de travail, elle, arrive déjà sur les bureaux.

Le programme CVE définit le champ de cette autorité : les paquets actifs de Hex.pm et des projets Erlang, Elixir ou Gleam désignés, sauf lorsqu’une autre autorité est compétente. Woodman évalue cet univers à plus de 20 000 paquets. La recherche automatisée peut parcourir le catalogue; chaque signalement doit ensuite trouver un humain capable d’établir le cas et un autre, souvent le même, capable de réparer le logiciel.

Dans la transcription de la séance, Woodman décrit un chercheur aidé par l’IA et un coordinateur qui règle le débit des dossiers. Sa formule est simple : trouver coûte moins cher que vérifier et corriger. L’équipe essaie donc de prévenir un projet avant de concentrer plusieurs signalements sur lui. Le mainteneur peut réserver du temps pour une séquence de réparations au lieu de subir une sirène tous les deux jours. Les diapositives originales nomment la facture invisible : l’épuisement des mainteneurs.

La procédure de la fondation impose une chaîne précise : décider si le rapport mérite un CVE, produire une reproduction minimale, contacter le mainteneur, soumettre la fiche à la revue, puis publier. Si le mainteneur reste silencieux pendant quatorze jours, la fondation peut publier sans lui. Une faille déjà publique ou activement exploitée suit un délai de vingt-quatre heures. Ces règles distribuent le pouvoir de décision quand la boîte de réception enfle.

Woodman dit solliciter des sponsors pour payer le travail. Le détecteur de failles a trouvé son carburant. La réparation cherche encore son budget et son calendrier.