Autoblog de korben.info

Ce matin en buvant mon café, je suis tombé sur un dépôt qui m'a fait tiquer et j'aimerai prendre quelques minutes pour vous en parler. Ça s'appelle Open Slopware , c'est hébergé sur Codeberg, et ça recense tous les projets open source qui ont eu le "malheur" de laisser l'IA s'approcher de leur code.

En fait, c'est une grande liste organisée par types de reproches, allant du projet qui autorise les contributions faites avec des LLM, à celui qui intègre une fonctionnalité IA, en passant par ceux qui acceptent du sponsoring d'entreprises IA ou qui ont un bot qui répond aux issues. Plus de 100 projets sont épinglés pour le moment, avec à chaque fois une alternative "AI-free" proposée. Forkée après que le repo original ait été supprimé par son créateur, la version actuelle est aujourd'hui maintenue par un collectif baptisé "small-hack".

Dans cette liste, on retrouve par exemple rsync, cet outil que j'utilise depuis bientôt 20 ans pour synchroniser mes backups et autres joyeusetés. Et l'unique grief qu'on les anti-IA contre Rsync, c'est qu'ils ont trouvé 2 contribs Claude Code dans leur dépôt. Autrement dit, rsync autorise ses contributeurs à utiliser des LLM, à condition que ce soit documenté et transparent. C'est ça, leur crime. C'est pas du code pourri, c'est pas une faille injectée par un vibe coder pressé à 3h du mat'... Non, ce qui vaut à Rsync d'être qualifié de slopware, c'est juste une politique d'ouverture explicite.

Perso, je trouve ça sain d'avoir une politique qui encadre l'usage de l'IA, même si je sais que je vais me faire allumer ^^. Parce que soyons réalistes 2 secondes, aucun mainteneur de projet libre ne peut empêcher un contributeur de balancer un patch généré par Claude ou ChatGPT. Ce qu'il peut faire, par contre, c'est exiger que ce soit déclaré. Rsync a choisi cette voie. Godot Engine aussi. Comme ça, plutôt que d'avoir des gens qui se planquent pour pousser du code IA en douce, on a un cadre clair où chacun annonce la couleur.

Je pense qu'interdire pousse à cacher, alors qu'autoriser avec des règles strictes et claires permet de filtrer et de ne garder que le meilleur. C'est pas sorcier.

Ces projets posent des règles, des process, des obligations de déclaration. Bref, ils prennent en compte le monde réel, celui où les contributeurs utilisent déjà ces outils tous les jours, au lieu de s'enfermer dans des fantasmes utopistes qui voudraient qu'on revienne à la compilation à la bougie. Et en retour, ils se font malheureusement coller une étiquette de slopware par des randoms anonymes.

Alors qu'on ait des réserves sur l'IA, je le comprends totalement mais je trouve ça regrettable de venir chier dans les bottes des seuls qui essaient de poser un cadre. C'est tellement à côté de la plaque.

Le vrai slop les amis, il est ailleurs, dans les repos vite faits balancés sur GitHub par des gens qui n'ont jamais touché au code qu'ils publient. Pas chez rsync.

Et puis faut voir concrètement ce qu'il vous faudrait remplacer pour respecter leur doctrine. Un clone buggy de Rsync ? Un retour à tar ou à un client FTP des années 2000 ? Bon courage pour synchroniser 300 Go de photos avec ça sans que votre NAS chauffe tout le salon.

Pour Godot, il faudra migrer vers Pandemonium Engine, qui est un chouette fork mais maintenu quasi-exclusivement par une seule personne. Quand à Firefox ? Là c'est carrément open bar, puisque le projet est affiché à la fois pour sa politique de contribution et pour ses fonctionnalités IA intégrées. Du coup bon courage pour trouver un navigateur moderne qui n'ait pas touché à l'IA d'une manière ou d'une autre.

Et leur liste est sans fin puisqu'elle embarque aussi le noyau Linux, WordPress, Vim, Neovim et VS Code, histoire de bien finir le boulot.

Ils auraient plus vite fait de lister des projets garantis sans IA, ça consommerait moins de bande passante ^^, parce que là, ceux qu'ils balancent, c'est ceux qui ont communiqué sur le sujet mais allez savoir combien sont les projets "vertueux garantis sans LLM" dont les dev maquillent le code que l'IA leur a sorti.

Je tiens à rappeler quand même que le mot slop, à la base, désigne du contenu IA généré à la chaîne sans aucun contrôle humain. Coller cette étiquette sur des projets vieux de trente ans qui font juste évoluer leurs règles de contribution, c'est soit de la paresse intellectuelle, soit un procès d'intention. Et les mainteneurs ont beau préciser que leur liste n'est pas un outil de harcèlement, une fois qu'un projet est publiquement classé comme slopware, le mal est fait.

Ces projets, on les a quand même tous utilisés, souvent pendant des années, sans jamais rien donner en échange, ni un rond, ni une issue. Rsync a sauvé la vie à des millions d'admins sys qui n'ont jamais poussé la moindre ligne de code en retour. Firefox a tenu le web ouvert pendant vingt ans pendant qu'on migrait tous sur Chrome sans rien leur donner. Le noyau Linux fait tourner la moitié d'Internet. Les voir se faire taper dessus par des gens qui, dans leur grande majorité, n'ont jamais contribué non plus, juste parce qu'ils ont adapté leurs règles de contrib au monde actuel, je trouve ça assez irrespectueux en fait.

C'est facile de gueuler comme un putois sur les joueurs, quand on est en haut, bien au chaud dans les gradins.

Et visiblement, je suis loin d'être le seul à le ressentir comme ça. Plusieurs développeurs épinglés dans la liste ont publiquement parlé de chasse aux sorcières, et l'ambiance est tellement devenue toxique que l'auteur original du dépôt a fini par le supprimer après avoir reçu une avalanche de harcèlement des deux bords. Seth Larson, security developer-in-residence à la Python Software Foundation, a publié en février un billet intitulé Automated public shaming of open source maintainers , où il dénonce le shaming systématisé des bénévoles qui osent poser des règles sur l'IA. Et côté politiques officielles, Debian vient de passer 2 mois à débattre de l'acceptation des contributions IA pour finalement ne pas trancher, pendant que Gentoo et QEMU choisissaient l'interdiction pure et la Linux Foundation l'autorisation encadrée.

Bref, tout le monde tâtonne, personne n'a LA bonne réponse, et ça n'empêche pas Open Slopware de distribuer les mauvaises notes avec l'assurance d'un inspecteur du fisc.

Après, si vous avez pleiiiin de temps libre et que vous voulez reconstruire votre stack de A à Z autour de projets qui refusent tout contact avec des LLM, cette liste vous aidera à vivre selon votre religion. Mais retirer Rsync de sa boîte à outils parce qu'ils ont validé des contribs utiles poussées par un humain assisté par Claude Code, perso, je trouve ça un peu sévère.

Bref, les projets libres s'adaptent, comme ils l'ont toujours fait et les qualifier de slop parce qu'ils évoluent, je trouve ça moche.

Source

Y'a 20 ans passés, une linguiste canadienne nommée Sonja Lang a eu une idée un peu folle : créer la langue la plus simple du monde. Le résultat, c'est le Toki Pona, un truc minimaliste qui tient officiellement en 120 mots et que vous pouvez apprendre en quelques heures si votre mémoire n'est pas trop merdique. Et en 2026, la communauté a tellement grossi autour que ça vaut le coup d'y (re)jeter un œil.

L'idée derrière cette langue inventée en 2001, c'est de réduire la pensée à l'essentiel, un peu à la manière du taoïsme. Sonja Lang l'a créée au départ pour simplifier ses propres pensées, et ça s'est transformé en un truc adopté par une communauté internationale active. Pas une alternative à l'anglais ou à l'espéranto (ça ne vaut pas la langue des anciens ), juste une langue qui vous force à décrire le monde avec ce que vous avez sous la main.

Le nom Toki Pona vient de toki (dérivé de Tok Pisin , lui-même issu de l'anglais "talk") et de pona qui vient du bona espéranto pour dire "bon". Donc littéralement "Langue du bien" ou "Langue simple", ce qui colle pas mal avec l'intention.

Le truc, c'est qu'avec 120 mots officiels listés dans le livre Pu que Sonja Lang a publié en 2014, et 14 phonèmes (5 voyelles a e i o u et 9 consonnes j k l m n p s t w), vous couvrez tout ce dont un humain a besoin pour communiquer. Ça se prononce comme en français sauf le j qui fait "y", le e qui fait "é" et le u qui fait "ou". Depuis 2021, un second livre appelé ku étend le vocabulaire à 137 mots pour les usages plus pointus, mais le cœur reste le Pu.

Prenons le mot kasi. Kasi, c'est un végétal. Mais lequel ? Si je vous dis kasi kiwen, c'est un arbre car kiwen indique quelque chose de solide. Je peux aussi dire kasi suli pour dire que c'est un végétal de grande taille, donc un arbre aussi. À voir selon le contexte évidemment.

Maintenant si je dis kasi kule, j'indique que ce végétal est coloré, donc probablement une fleur. Et si j'associe kasi (végétal) avec ma (terre), ça donne ma kasi qui signifie un sol végétalisé, donc un jardin. Et si c'est un ma kasi kiwen, on parle probablement d'une forêt. Voilà, vous voyez le délire.

Pour apprendre ça aujourd'hui, y'a plusieurs routes selon votre style. Le site officiel tokipona.org vend les livres de Sonja Lang (Pu, ku, plus quelques autres) et c'est la référence absolue. Si vous préférez un truc en ligne gratuit et structuré, wasona.com propose 29 leçons dispos en 13 langues dont le français, qui vont des bases au niveau avancé, sans gamification chiante, juste du texte et des exos bien foutus.

Pour compléter, y'a Wikibooks qui a pas mal de contenu, linku.la qui fait dictionnaire en ligne collaboratif, et si vous voulez le livre papier officiel, Pu est dispo sur Amazon . Et si vous préférez apprendre une langue en jouant , il existe aussi des approches ludiques qui marchent bien.

Côté communauté, le vrai hub c'est le Discord "ma pona pi toki pona" qui dépasse les 19 500 membres en 2026. Des gens qui parlent exclusivement en Toki Pona, traduisent des films, écrivent de la poésie, font des mèmes en sitelen pona... un vrai petit écosystème. C'est d'ailleurs cette communauté qui a contribué aux données du ku en 2021.

Parlons écriture justement, parce que là aussi y'a eu du mouvement. Trois systèmes coexistent. Sitelen Lasina, c'est juste l'alphabet latin classique que j'utilise depuis le début de l'article. Sitelen Pona est l'écriture logographique officielle de Sonja Lang où chaque mot a son petit pictogramme (genre un rond pour le soleil, une ligne qui monte pour l'escalier). Et Sitelen Sitelen, c'est la version artistique créée par Jonathan Gabel, beaucoup plus complexe et franchement magnifique.

Et comme la syntaxe du Toki Pona est super basique, on peut l'adapter à d'autres systèmes d'écriture, genre l'alphabet runique.

Ou littéralement à tout et n'importe quoi. En bon geek, je vous propose de découvrir le Toki Pona version Emoji. Chaque mot correspond à une ou plusieurs emojis.

Pour reprendre mon exemple de jardin ma kasi, il suffit d'écrire 🌍🌴. Fastoche non ? Vous trouverez la liste officielle des emojis Toki Pona sur ce tableur .

Sur le site Sitelen Emoji , vous trouverez également des outils pour Windows, macOS et Linux qui vous donnent un clavier emoji dédié au Toki Pona.

Allez, je vous laisse un petit message perso :

👈❤️💕👉🤙 🚆👍🧪⚙️🧠🧑‍🤝‍🧑

Y'a un traducteur Emoji / Toki Pona ici pour les galériens.

Bref, si vous cherchez une langue qui se glisse dans le cerveau en un week-end et qui vous force à reformuler vos idées de manière minimale, le Toki Pona est un excellent candidat. Et en prime, vous rejoindrez une communauté de dingues adorables. Amusez-vous bien !

Article publié initialement le 20 juillet 2023 et mis à jour le 21 avril 2026.

Vercel, c'est la plateforme d'hébergement web utilisée par des milliers de développeurs et d'entreprises pour déployer leurs sites et applications (c'est eux qui font Next.js, entre autres).

Un de leurs employés s'est inscrit sur Context.ai, un assistant IA pour la bureautique, en utilisant son compte professionnel Google. Au moment de l'installation, l'app a demandé l'accès à ses emails, ses fichiers, son agenda, bref tout le Google Workspace de la boîte. Il a cliqué "autoriser tout". Erreur classique.

Sauf que Context.ai s'est fait pirater en février. Un de leurs propres employés a chopé un malware (Lumma, un voleur de mots de passe) en téléchargeant des scripts de triche pour Roblox. Le genre de bêtise qui ouvre la porte à tout le reste.

L'attaquant a récupéré l'accès que Context.ai avait sur le Google Workspace de Vercel, avec des permissions très larges : emails, fichiers internes, infrastructure de déploiement.

ShinyHunters, un groupe de pirates connu, a revendiqué le coup sur un forum et mis en vente des clés d'accès, du code source, des données de bases et des clés API de Vercel.

Le PDG de Vercel estime que le nombre de clients touchés est "assez limité", sans donner de chiffres. Mais côté crypto, plusieurs projets hébergés sur la plateforme ont quand même lancé en urgence un changement de tous leurs mots de passe et clés d'accès, ce qui donne une idée de l'ambiance.

Ce qui rend cette affaire intéressante, c'est le mécanisme. Personne chez Vercel n'a été directement attaqué. C'est un outil tiers, un outil IA installé par un employé, qui a servi de pont. L'employé donne un accès large à un service externe, le service se fait pirater trois mois plus tard, et tout le contenu professionnel de l'entreprise se retrouve exposé.

C'est exactement le scénario que les experts en sécurité décrivent depuis un an quand ils parlent des outils IA qui demandent des permissions tentaculaires sur vos comptes pro.

Bref, le vrai problème n'est pas Vercel. C'est le "autoriser tout" sur un outil IA qu'un employé a installé sans se poser de questions.

Source : SecurityWeek