URL:     https://linuxfr.org/users/samuel/journaux/l-efficacite-des-llms-pour-la-recherche-de-vulnerabilites-point-de-vue-d-un-mainteneur
Title:   L'efficacité des LLMs pour la recherche de vulnérabilités, point de vue d'un mainteneur
Authors: Samuel
Date:    2026-09-01T14:51:12+02:00
License: CC By-SA
Tags:    noyau_linux, vulnérabilité, greg_kroahhartman et grands_modèles_de_langage
Score:   20


Greg Kroah Hartmann, mainteneur du noyaux Linux en charge des versions stables, a donné il le 11 août une présentation intitulée [Linux in the Land of LLMs](https://osskorea2026.sched.com/#) ([support de présentation](https://hosted-files.sched.co/osskorea2026/a7/4%20-%20Greg%20-%20oss_korea%20v2.pptx.pdf), [captation vidéo sur Youtube](https://www.youtube.com/watch?v=_MwMLPmMccs)) à partir de son expérience de mainteneur. Les principales informations que j'en retiens :

- Ils reçoivent significativement plus de rapports de vulnérabilités qu'auparavant.
- Les LLMs, sont des outils de pattern-matching sous stéroïdes qui découvrent plein de bugs de cette façon : on a déjà vécu ça avec (fuzzers, analyse statique), ça fait beaucoup de bugs à corriger dans un premier temps, c'est normal, mais ça n'est pas la fin du monde, contrairement à ce que veulent faire croire les industriels du secteur. Comptez 18 mois un peu occupés en terme de cybersécurité. Automatisez/accélérez le déploiement des mises à jour.
- On paie en ce moment des décennies de sous-investissement dans la sécurité et la qualité logicielle : tous un tas de bugs qu'on a ignorés ou pas pris le temps de chercher puis de corriger jusqu'à maintenant sont remontés à la surface par ces nouveaux outils.
- Les LLMs mentent, tous. Même les meilleurs modèles produisent 1/4 à 1/3 de faux positifs, tentant de faire croire à un bug là où il n'y en a pas. Démêler les vrais bugs des faux demande une grande compétence sur le code en question. Ils filtrent ça en demandant un correctif en plus du rapport de bug.
- Ils reçoivent très fréquemment des rapports très similaires presque en même temps : GKH l'interprète comme une conséquence du fait qu'une fois qu'un utilisateur a trouvé un bug à l'aide d'un LLM public, ce système de LLM partage ce résultat avec d'autres utilisateurs ayant des requêtes similaires. En conséquence, tout ce qu'on dit à un chatbot opéré par un tiers doit être considéré comme public.
- Aux développeurs, il recommande de faire tourner des modèles sur leur machine pour trouver les bugs avant les autres ou aider à rédiger les patchs. Il rejoint ainsi la position de Linus Torvalds ou de la majorité de la communauté Debian : ces LLMs seraient "juste" un outil, il ne rejoint pas à celles et ceux qui estiment que le monde dans lequel les LLMs existent est un monde qui ne devrait pas exister (pour des raisons politiques, écologiques, économiques, etc.).