Zéro. Puis six. Sur le même code, à neuf jours d’écart

Le 24 août, le fondateur de curl publie que les systèmes de sécurité d’Anthropic et d’OpenAI ne trouvent plus rien dans son code. Le 2 septembre, la version 8.22.0 corrige dix failles, dont six signalées entre temps par un tiers. Toutes de sévérité faible. Ce n’est pas un scandale de sécurité. C’est une leçon sur ce qu’une liste vide raconte, et sur ce qu’elle ne raconte pas.

Le socle, dans l’ordre et daté. Le 24 août 2026, Daniel Stenberg, fondateur et développeur principal de curl, écrit sur Mastodon que trois CVE seulement sont en attente pour la prochaine version. Il ajoute, après avoir soumis son code aux systèmes de cybersécurité de deux laboratoires de pointe : « [Anthropic] Mythos says it can’t find any more. ... [OpenAI] Codex security shows an empty list. » Le lendemain, il publie une ligne de comparaison : « Mythos: 0 / Aisle: 29 ».

Sur ces 29 signalements produits par le système de la société AISLE, six ont été retenus dans les jours suivants par l’équipe de sécurité de curl, qui les a jugés dignes d’une CVE publique. Trois signalés le 24 août, deux le 26, un le 27. Le 28 août, le compteur de CVE en attente était passé de trois à dix. La version 8.22.0, annoncée le 2 septembre par Stenberg lui même et accompagnée d’un envoi d’avis de sécurité sur la liste curl-library, corrige bien ces dix vulnérabilités.

D’où vient ce récit, et ce qui le tient. La source qui met tout cela en scène est le blog de l’entreprise qui a produit les signalements, publié le 2 septembre et signé Stanislav Fort, c’est à dire la personne créditée comme rapporteur sur les six CVE. AISLE vend un service d’audit de code. Ce texte est un argument commercial, et il faut le lire comme tel. Trois éléments extérieurs l’empêchent de n’être que cela, et l’entreprise les nomme elle même : ce sont les mainteneurs de curl, pas AISLE, qui ont décidé de la réalité de chaque signalement ; les six identifiants sont publics chez curl ; et le résultat nul des deux laboratoires avait été publié et horodaté par Stenberg avant qu’AISLE ne lance son analyse. Cette antériorité est ce qui rend la comparaison propre, et elle est rare.

Deuxième garde fou, venu de la même source : les six failles sont toutes de sévérité faible, ce qu’AISLE attribue à la maturité de l’ingénierie de curl, où ce qui subsiste se niche dans des configurations étroites. curl tourne sur plus de vingt milliards d’installations, des réfrigérateurs connectés aux engins spatiaux, et il n’a pas explosé cette semaine. À l’heure du bouclage, aucun élément ne permet de parler d’incident de sécurité.

Le regard, maintenant. Ce qui rend cette affaire intéressante n’est pas le score, c’est une vieille faiblesse logique qui vient de trouver un modèle économique. « Nous n’avons rien trouvé » et « il n’y a rien » sont deux phrases différentes qui partagent presque tout leur vocabulaire. La première mesure un outil. La seconde décrit le monde. Aucune ne se déduit de l’autre. Partout ailleurs c’est un exercice de première année de philosophie. Dans la cybersécurité vendue au forfait, c’est le produit : une partie de ce qu’on achète est un soulagement, et un soulagement se livre sous la forme d’une liste vide.

Une liste vide n’a pas de barre d’erreur. Elle ne dit pas combien de temps l’outil a cherché, ni où il n’a pas regardé. Elle se lit en une seconde et se cite en une ligne. C’est le format d’information le plus rassurant et le moins vérifiable qui existe, et c’est exactement pour cela qu’il voyage bien.

On a déjà vu ce mécanisme cette semaine, sous une autre forme. OpenAI a écrit la définition du mot critique, puis a annoncé que son modèle venait d’atteindre ce seuil. Écrire l’étalon puis se mesurer avec, ou publier un zéro et le laisser circuler comme une garantie : c’est le même geste. L’industrie ne truque pas ses résultats, elle fournit l’instrument qui les produit. Pendant ce temps, plus de cent entreprises qui vendent de l’IA écrivent ensemble que l’IA va faire exploser la menace, et le gendarme financier mondial alerte le G20 pendant que le même G20 rédige un texte pour ne créer aucun régulateur.

Notons ce que cette phrase dit et ce qu’elle ne dit pas. Elle vient d’un des mainteneurs les plus exposés du logiciel libre. Elle constate un écart sur un second corpus, indépendant de curl. Et elle refuse d’expliquer : aucune idée de ce qu’ils font différemment. Un homme de ce niveau qui écrit qu’il ne comprend pas est plus utile qu’un communiqué qui explique tout.

Reste une ironie de calendrier que personne n’a relevée et qui, elle, ne vient d’aucune entreprise. Le dimanche 1er février 2026, à 17 heures, salle Janson, en plénière du FOSDEM à Bruxelles, Daniel Stenberg donnait une conférence dont le titre figure toujours dans les archives du festival : Open Source Security in spite of AI. Sept mois plus tard, le même homme soumet son code à deux intelligences artificielles, publie leur résultat nul, puis publie neuf jours après le score qui le contredit. Ce n’est pas une contradiction, c’est la définition du métier : on teste, on publie ce qu’on obtient, y compris quand ça dérange l’intuition avec laquelle on est monté sur scène.

Le chiffre à retenir de cette semaine n’est donc ni six ni zéro. Vingt neuf signalements soumis. Six acceptés. Vingt trois rejetés, un par un, par des humains qui ont lu chaque ligne. C’est le seul taux qui dise quelque chose de solide sur l’état réel de la machine, et c’est le seul que personne ne mettra en titre.