Spotify double les modifications de code alors que l'IA trouve une faille critique du noyau

Spotify a rapporté que le développement assisté par IA a plus que doublé ses modifications fusionnées mensuelles, passant d'environ 8 100 à 17 000 en glissement annuel en août, selon InfoQ. Cette augmentation de la vélocité a été accompagnée d'une maintenance automatisée significative, le système Fleet Management de Spotify fusionnant plus de 2,5 millions de demandes de tirage de maintenance automatisées, dont la plupart ont été fusionnées automatiquement après des vérifications de sécurité. Les gains d'efficacité ont été davantage soulignés par une récente migration Java à travers les services backend qui n'a pris que trois jours, comme noté par InfoQ. Cependant, cette accélération de la livraison coïncide avec une période où les outils d'IA eux-mêmes ont découvert de graves vulnérabilités de sécurité, suggérant que la vitesse doit être équilibrée avec des contrôles de qualité rigoureux.

Dans le même laps de temps, Tencent Zhuque Lab a découvert une faille critique dans le noyau Linux en utilisant un système d'IA multi-agents nommé Corvus AI, comme rapporté par The Hacker News. La vulnérabilité, connue sous le nom de Vghost, permet aux utilisateurs locaux d'obtenir des privilèges root et potentiellement de s'échapper des machines virtuelles vers l'hôte, affectant les noyaux Linux de la version 4.11 jusqu'à la 7.2-rc4. Cette découverte souligne la double nature de l'IA dans l'ingénierie logicielle : elle peut accélérer le développement mais aussi exposer des problèmes profondément ancrés que la revue humaine pourrait manquer. The Hacker News a noté que la faille permet à un utilisateur local de lire et d'écrire la mémoire du noyau à volonté, une capacité qui persiste à travers près d'une décennie de versions du noyau.

Simultanément, Next.js a publié une mise à jour de sécurité hors bande le 14 octobre pour corriger deux failles critiques d'exécution de code à distance, selon The Hacker News. Vercel, le développeur de Next.js, a classé les deux failles d'exécution de code comme critiques avec un score CVSS de 9,5. La mise à jour a également corrigé une faille de déni de service de sévérité élevée affectant les applications App Router. The Hacker News a rapporté que l'un des problèmes sous-jacents, CVE-2026-96889 dans librsvg, a été rendu public le 23 septembre et corrigé dans sharp le 27 septembre, soulignant l'importance de la correction rapide des dépendances. Ces événements illustrent collectivement que, bien que l'IA puisse augmenter considérablement le volume des modifications de code, comme on l'a vu avec Spotify, elle nécessite également une revue humaine robuste, des tests automatisés qui échouent sans correctifs, et une gestion stricte des dépendances pour maintenir la sécurité et la fiabilité.