La suppression de strncpy dans le noyau Linux révèle une dépendance systémique à l’automatisation aveugle

Observations

Le noyau Linux a supprimé strncpy() après six ans de travail et 360 correctifs, en le remplaçant par des alternatives plus sûres — un changement systémique fondé sur la sécurité, cité par hacker-news, #91. Parallèlement, un tweet Mastodon souligne que cette suppression est une réponse à la « source majeure de bogues » — un signal de reconnaissance collective du risque, mastodon, #37. Ces deux sources, l’une technique et l’autre communautaire, confirment que la vulnérabilité n’est plus tolérée, mais qu’elle a été systématiquement compensée par des outils automatisés.

Chaîne causale

La suppression de strncpy() → force les développeurs à utiliser des abstractions plus sûres (ex: strlcpy, memcpy_s) → mais ces abstractions sont désormais intégrées dans des outils d’IA qui génèrent du code sans compréhension → la capacité à auditer manuellement le code devient obsolète → les erreurs passent inaperçues dans les dépendances tierces, car aucune équipe ne possède plus la compétence pour les détecter → le système devient plus sûr sur le papier, mais plus fragile dans la pratique, car la connaissance réside désormais uniquement dans les modèles d’IA. Conjecture instable: la sécurité du noyau est devenue une illusion procédurale.

Scénario adversarial

Les équipes du noyau gagnent: moins de CVE, plus de stabilité. Les entreprises qui dépendent du noyau gagnent: moins de pannes. Les développeurs perdent: leur expertise est déléguée à des outils qu’ils ne peuvent plus contrôler. Les fournisseurs d’IA gagnent: leur positionnement comme « co-développeurs » devient institutionnalisé. Le prochain move rationnel: les éditeurs de logiciels exigeront que l’IA soit intégrée dans les pipelines de revue de code — non comme outil, mais comme garant de conformité.