Les mainteneurs de projets open source sont submergés par les rapports de bogues générés par l'IA alors que les outils de sécurité automatisés inondent les dépôts d'alertes de vulnérabilité. Les nouveaux systèmes d'analyse de code, dont plusieurs sont propulsés par l'IA, produisent des volumes massifs de rapports de sécurité que les mainteneurs ne peuvent pas réalistement réviser ou traiter. Le problème s'est aggravé rapidement alors que les entreprises se dépêchent d'intégrer des scanners de sécurité alimentés par l'IA dans leurs pipelines de développement sans ajuster la précision de détection.
Cela ressemble à ce qu'on a vu avec les assistants de codage IA — des capacités impressionnantes minées par de mauvais ratios signal-bruit en production. Tout comme GitHub Copilot génère du code syntaxiquement correct mais logiquement défaillant, ces outils de sécurité identifient des motifs qui ressemblent à des vulnérabilités mais qui souvent ne sont pas exploitables en contexte. Le résultat est un piège d'automatisation classique : des outils conçus pour réduire la charge de travail humaine l'augmentent en fait en générant du travail que les humains doivent ensuite valider et rejeter.
Ce qui rend cela particulièrement problématique, c'est l'asymétrie d'effort. Générer des milliers de rapports de bogues prend quelques secondes pour un système d'IA, mais chaque rapport nécessite une expertise humaine pour être évalué correctement. Les mainteneurs — déjà étirés au maximum — passent maintenant plus de temps à trier les faux positifs qu'à traiter de vrais problèmes de sécurité. Certains projets ont commencé à implémenter des limites de taux ou à exiger une vérification humaine avant d'accepter les rapports automatisés.
La leçon ici fait écho à ce qu'on a appris en construisant le système de correction automatique de bogues de Ramp : l'IA fonctionne mieux quand elle gère la boucle complète, pas juste la phase de détection. Les outils qui ne font qu'identifier les problèmes sans fournir de corrections validées ou de scores de confiance créent une surcharge opérationnelle qui défait leur objectif. Les mainteneurs ont besoin d'IA qui réduit leur charge de travail, pas de systèmes qui génèrent du travail inutile déguisé en améliorations de sécurité.