L’IA déniche tant de bugs qu’un logiciel libre majeur repousse sa sortie

Des intelligences artificielles savent désormais lire du code informatique et y repérer des erreurs plus vite que les humains ne peuvent les réparer. Conséquence : PostgreSQL, un logiciel gratuit qui range les données de très nombreuses entreprises, devrait sortir sa nouvelle version le 19 novembre 2026, avec plus d’un mois de retard. Robert Haas, l’un de ses principaux contributeurs, s’en inquiète : comment continuer à innover quand il faut sans cesse colmater des brèches ?

Un logiciel invisible, présent partout

PostgreSQL est ce qu’on appelle un système de gestion de base de données. En clair, c’est un immense classeur numérique où des sites web et des applications rangent leurs clients, leurs commandes ou leurs factures. Selon Numerama, c’est l’un des logiciels de ce type les plus utilisés au monde. Il est « open source » : son code est public, chacun peut l’utiliser gratuitement, et une communauté de développeurs le fait évoluer.

Depuis une dizaine d’années, la nouvelle version majeure sortait entre la mi-septembre et la mi-octobre. La version 19 n’a pas tenu ce rythme. Début octobre 2026, l’équipe chargée des sorties a repoussé la publication au 19 novembre. Motif : tant de bugs avaient été découverts et corrigés dans les versions précédentes que les développeurs ont préféré les intégrer d’abord dans une dernière version de test.

Quelques semaines plus tôt, plusieurs nouveautés attendues avaient déjà été retirées de cette version. L’une d’elles devait permettre d’interroger des données sous forme de graphes, c’est-à-dire de rechercher plus facilement des liens entre des informations. Peter Eisentraut, membre de l’équipe dirigeante, attribuait en partie ces abandons à la relecture de code assistée par l’IA. Il décrivait « une liste d’une quarantaine de rapports d’anomalies », chacune ne demandant en moyenne qu’une correction de trois lignes, mais un temps de traitement « incompressible ».

Les chiffres de Robert Haas : plus de corrections, pas plus de bras

Ce retard touche directement ce que les utilisateurs recevront : chaque semaine passée à réparer est une semaine qui ne sert pas à construire de nouvelles fonctions. Le 30 octobre, Robert Haas a publié un billet intitulé « Postgres 19 est en retard, et c’est la faute de l’IA ». Sa réponse tient en une phrase : « les LLM sont arrivés ». Les LLM sont les modèles de langage, ces IA capables de lire et d’écrire du texte, y compris du code.

Pour étayer son propos, il compare les modifications apportées au code entre le 8 avril et le 25 septembre de chaque année, rapporte Numerama :

• les modifications reportées sur la version en préparation passent de 724 en 2025 à 1 169 en 2026, soit 61 % de plus ;
• celles qui concernent aussi la version précédente, déjà en service, passent de 248 à 433, soit 75 % de plus.

Selon lui, cette hausse s’explique moins par des erreurs plus nombreuses des contributeurs que par le nombre croissant d’internautes qui signalent des bugs trouvés avec des modèles de langage. Les failles de sécurité suivent la même pente : la mise à jour du 13 août en a corrigé 28, contre 11 en mai. Mais ni ce décompte ni les chiffres de Haas ne disent combien de ces problèmes ont été trouvés grâce à l’IA. Le lien de cause à effet reste donc l’analyse d’un développeur du projet, pas une mesure.

Détecter n’est pas réparer

Le cœur du problème est là : trouver une erreur et la corriger sont deux métiers différents. Les modèles de langage débusquent des failles que des décennies de relecture humaine n’avaient pas repérées. Mais chaque correctif proposé doit encore être compris, validé, adapté aux règles du projet et intégré par des humains : les développeurs qui entretiennent le logiciel, appelés « mainteneurs ». En clair, l’IA accélère la découverte des bugs bien plus que leur résolution.

Le phénomène dépasse peut-être PostgreSQL. Sur son blog, le spécialiste de la sécurité Bruce Schneier relaie un message selon lequel 3 % des failles de sécurité « critiques » jamais recensées auraient été trouvées le mois dernier. À ce rythme, d’après ce message, une centaine de milliers de failles de plus seraient découvertes cette année, soit environ 26 % de plus au total. Schneier commente : « Oui. C’est un nouveau monde. »

Ce chiffre est à prendre avec prudence. Le message n’est pas signé sur la page, et aucune méthode de calcul n’est donnée. Dans les commentaires, des lecteurs doutent : l’un se demande combien de ces bugs sont « réels », un autre estime que beaucoup sont trouvés en brûlant d’énormes puissances de calcul, un troisième note qu’on trouve surtout davantage d’exemples de types d’erreurs déjà connus, pas de nouveaux types. Ce sont des opinions de lecteurs, pas des faits établis.

D’autres projets ont aussi vu l’IA bousculer leur travail, mais pour une raison différente, rappelle Numerama. En janvier, le projet curl, un outil très répandu de transfert de données, a supprimé ses primes aux bugs pour décourager les signalements de mauvaise qualité. En mai, Linus Torvalds, le créateur de Linux, dénonçait une « agitation parfaitement inutile » face aux doublons. Le 1er octobre, Google a suspendu les nouvelles soumissions à son programme de récompenses open source, invoquant une majorité de rapports automatisés non valides. Le cas décrit par Haas est autre : il parle de vrais bugs, si nombreux qu’on peine à les traiter tout en préparant la nouvelle version.

Ce que cela peut changer pour une PME ou un indépendant

Une petite entreprise n’installe souvent pas PostgreSQL elle-même. Mais elle l’utilise peut-être sans le savoir, via un site, un outil de gestion ou un logiciel fourni par un prestataire. Ce qui suit est une analyse, pas un constat des sources.

Première conséquence plausible : davantage de mises à jour de sécurité. Les chiffres rapportés par Numerama vont dans ce sens, avec 28 failles corrigées en août contre 11 en mai. Un logiciel jamais mis à jour devient alors plus risqué, puisque les failles connues se multiplient. Deuxième conséquence possible : des nouveautés qui arrivent plus tard, comme l’interrogation par graphes retirée de la version 19.

Quelques questions concrètes à poser à son prestataire ou à son service informatique :

• quels logiciels libres mon activité utilise-t-elle, directement ou indirectement ?
• qui applique les mises à jour, et sous quel délai après leur publication ?
• que se passe-t-il si une correction de sécurité arrive pendant une période chargée ?

Qui paie la note ?

La question du financement reste ouverte. Les sources consultées ne disent ni combien de développeurs de PostgreSQL travaillent bénévolement, ni combien sont salariés d’entreprises. Elles ne disent pas non plus si les sociétés qui dépendent du logiciel contribuent davantage depuis que les bugs affluent. Haas, lui, reconnaît ne pas savoir comment le projet rattrapera son retard, et ne juge le retard actuel modeste que pour l’instant.

Prochaines échéances, selon Numerama : le 12 novembre, une mise à jour annoncée comme riche en correctifs, accompagnée d’une dernière version de test de PostgreSQL 19. Si aucun problème n’apparaît, la sortie finale suivra le 19 novembre. On saura alors si ce retard était un accident de parcours ou le premier signe d’un nouveau rythme.

Sources

• « Comment allons-nous rattraper notre retard ? » : l’IA trouve tant de bugs que PostgreSQL s’inquiète de sa capacité à innover (Numerama)
• AI Vulnerability Finding (Schneier on Security)