Linus Torvalds vient de trancher un débat qui couvait depuis des semaines sur les listes du noyau Linux : le projet n’adoptera pas de position globalement opposée à l’intelligence artificielle. Son intervention n’autorise pas les modèles à écrire ou approuver du code sans supervision, mais établit que des outils comme Sashiko pourront participer à la revue des patches dès lors qu’ils prouvent leur utilité. Pendant que Linux débat publiquement de ses limites, Microsoft, Apple et Google ont déjà intégré agents et modèles d’IA dans leurs systèmes d’exploitation et environnements de développement.

L’essentiel en 30 secondes : Torvalds considère établi que l’IA peut détecter des erreurs réelles et rejette toute interdiction fondée sur des motifs idéologiques. Sashiko examine les patches Linux en onze étapes, avec un risque de faux positifs. Microsoft attribue à un système de plus de 100 agents la détection de 16 vulnérabilités dans Windows. Apple intègre des agents d’Anthropic, Google et OpenAI dans Xcode 27. Android prépare des applications capables d’exposer leurs fonctions directement à Gemini et à d’autres agents.

Le débat a démarré sur les listes publiques du noyau autour d’une question pratique : comment traiter les rapports générés par Sashiko, un outil basé sur l’IA qui analyse les changements avant leur intégration dans Linux. Certains développeurs voulaient qu’une personne vérifie chaque alerte avant qu’elle ne parte vers l’auteur du patch. D’autres ont répondu que cette exigence ferait retomber tout le travail sur le mainteneur, en réduisant l’intérêt même de l’automatisation.

Torvalds a tranché : personne ne sera contraint d’utiliser l’intelligence artificielle, mais aucun blocage total ne doit empêcher d’autres développeurs de s’en servir. Ceux qui s’y opposent gardent leurs options habituelles, forker le projet ou cesser d’y participer.

Linux veut de l’IA pour revoir le code, pas pour remplacer les mainteneurs

Sashiko n’est ni un outil officiel de Google ni une composante intégrée au processus d’acceptation du noyau. C’est un projet spécialisé qui prend en charge plusieurs fournisseurs, dont Gemini, Claude, GitHub Copilot, ainsi que des services compatibles OpenAI, Amazon Bedrock et Vertex AI. L’outil découpe la revue en onze phases : il cherche d’abord à comprendre l’objectif de la modification et à vérifier que l’implémentation correspond à la description, puis analyse les chemins d’exécution, la mémoire, la synchronisation, la sécurité et le comportement matériel. Les dernières étapes regroupent les alertes répétées, confrontent les arguments pour et contre chaque découverte, puis préparent une réponse au format habituel des listes Linux.

Capacités de Sashiko	Objectif
Analyse conceptuelle	Détecter erreurs d’architecture ou d’interface
Suivi de l’exécution	Vérifier retours, conditions et chemins d’erreur
Mémoire et ressources	Localiser fuites, doublons de libération et usages post-libération
Concurrence	Rechercher blocages, courses et erreurs avec RCU
Audit de sécurité	Identifier débordements et accès hors limites
Revue des pilotes	Vérifier DMA, registres et barrières mémoire
Débat et vérification	Réduire les doublons et faux positifs

Les développeurs affirment que Sashiko a détecté 53,6 % des erreurs dans un échantillon rétrospectif de 1 000 changements qui avaient pourtant passé la revue humaine et nécessité des corrections par la suite. La validation a été menée avec Gemini 3.1 Pro, pour un taux de faux positifs estimé sous 20 %, chiffre issu d’une revue manuelle limitée. Sashiko ne peut donc pas encore être traité comme un réviseur autonome et infaillible : son intérêt tient à offrir une seconde couche capable d’explorer le code et ses relations qu’un humain pourrait laisser passer, pas à prendre des décisions définitives.

La Software Freedom Conservancy, dont le guide a nourri une partie du débat, ne demande pas l’interdiction totale de l’IA. Ses recommandations soutiennent ceux qui choisissent de ne pas l’utiliser, insistent pour que les propositions générées soient comprises et revues par leur auteur, et préconisent d’indiquer le modèle employé. Le point sensible : les contributions automatiques sans supervision ne doivent partir que vers les espaces qui les ont explicitement acceptées. Torvalds partage cette idée sans vouloir en faire une barrière systématique. Son critère reste technique : si l’IA trouve des erreurs et allège la charge de travail, elle sera utilisée ; si elle produit du bruit, les mainteneurs l’ignoreront.

Windows utilise déjà plus de 100 agents pour traquer les vulnérabilités

Microsoft a avancé de son côté sur l’intégration de l’IA à son code système. En mai 2026, l’entreprise a annoncé que MDASH, sa plateforme d’IA dédiée à la sécurité, avait permis d’identifier 16 vulnérabilités dans des composants réseau et d’authentification de Windows, dont quatre critiques ouvrant la voie à une exécution de code à distance. MDASH ne repose pas sur un seul modèle : elle coordonne plus de 100 agents spécialisés qui examinent le code, discutent des détections, éliminent les doublons et tentent de produire des preuves attestant que la faille est exploitable. Ce système a été utilisé sur des composants comme tcpip.sys, ikeext.dll, http.sys, Netlogon — le même service au cœur de la faille critique CVE-2026-41089 — et la bibliothèque DNS. Microsoft a intégré ces découvertes à ses processus de sécurité et publié les identifiants CVE correspondants lors de ses mises à jour.

Système	Utilisation de l’IA	Résultat ou situation
Linux	Revue externe des patches avec Sashiko	Droit d’entrée ouvert ; pas d’acceptation automatique
Windows	Recherche interne de vulnérabilités avec MDASH	16 failles détectées, dont 4 critiques
macOS, iOS et autres systèmes Apple	Agents de programmation dans Xcode	Disponibles pour les développeurs dans Xcode 27
Android	Modèles locaux et agents capables d’interagir avec les applications	AppFunctions et Gemini Nano 4 en déploiement progressif

Microsoft affirme que MDASH a détecté les 21 vulnérabilités introduites intentionnellement dans un contrôleur privé de test, sans faux positif lors de cette exécution. En revue rétrospective, le système a identifié 96 % des 28 vulnérabilités connues de clfs.sys et 100 % de sept failles dans tcpip.sys, des résultats limités à des ensembles précis qui ne garantissent pas la même précision sur tous les composants futurs. La différence avec Sashiko tient à l’environnement : Microsoft travaille sur du code propriétaire avec des équipes de sécurité capables de valider chaque alerte avant son intégration au cycle mensuel de mises à jour, tandis que Linux reçoit des contributions distribuées par listes publiques et doit éviter qu’un système automatique n’engloutisse le temps de développeurs souvent bénévoles.

Windows intègre aussi l’IA comme fonctionnalité du système : les appareils Copilot+ embarquent des modèles fonctionnant localement via une unité de traitement neuronal, avec un seuil fixé à 40 TOPS et Phi Silica proposé pour générer, résumer ou réécrire du texte. Linux ne prévoit pas encore d’équivalent côté utilisateur : la déclaration de Torvalds concerne la revue du noyau, pas un assistant intégré à l’interface graphique.

Apple et Android intègrent les agents dans le développement et les applications

Apple a choisi une autre voie. Xcode 27 intègre des agents d’Anthropic, Google et OpenAI directement dans l’environnement de création d’applications pour macOS, iOS, iPadOS, watchOS et visionOS. Ces agents élaborent des plans, modifient le code, rédigent et exécutent des tests, travaillent dans des environnements isolés, vérifient des modifications visuelles et gèrent le simulateur. Ils se connectent aussi à des outils externes via le Model Context Protocol et à d’autres agents compatibles avec l’Agent Client Protocol — un mode de coordination proche de celui qu’Atlassian déploie dans Jira pour piloter des agents de programmation.

Apple n’affirme pas que ces systèmes prennent en charge l’autonomie totale du noyau macOS. Sa communication vise avant tout les développeurs d’applications, mais montre que l’entreprise accepte déjà des agents capables de fonctionner sur de longues périodes et de valider certains résultats dans son environnement officiel. L’IA est aussi présente côté utilisateur : Apple Intelligence combine exécution locale et Private Cloud Compute, déjà déployée dans des applications et fonctionnalités d’iOS, iPadOS et macOS. La génération à venir, avec iOS 27 et macOS 27, doit renforcer cette intégration via de nouveaux modèles fondamentaux et Siri AI.

Google transforme Android en une plateforme où les agents ne se contentent plus de répondre à des questions, mais peuvent exécuter des tâches dans les applications. L’API expérimentale AppFunctions permet à une application d’exposer fonctions, services et données via une variante du Model Context Protocol intégrée à l’appareil, que Gemini pourra utiliser pour naviguer dans l’application pour le compte de l’utilisateur. Android s’appuie aussi sur AICore, un service système qui exécute Gemini Nano localement et le maintient à jour. Google prépare Gemini Nano 4 pour 2026, avec une API pour résumer, réécrire, décrire des images ou produire des sorties structurées, souvent sans envoyer de données vers le cloud.

La différence entre ces quatre plateformes ne tient pas à l’acceptation ou au rejet de l’IA : toutes l’intègrent, mais à des niveaux et dans des couches différentes. Windows l’utilise pour la détection de vulnérabilités dans son code propriétaire et comme composant local. Apple la déploie dans Xcode et ses fonctions distribuées. Android prépare un OS où les applications proposent directement leurs actions aux agents. Linux, lui, commence par l’une des tâches les plus sensibles : la revue publique des changements du noyau.

Le modèle ouvert de Linux rend le débat plus transparent. Les courriels de Torvalds, les objections des développeurs et les métriques de Sashiko peuvent être examinés librement. Dans les systèmes propriétaires, seuls les produits et résultats choisis par les entreprises sont connus, les détails de leur usage interne de l’IA restant souvent confidentiels. La position de Torvalds n’élimine aucune question de licence, de vie privée, de coût ou de qualité. Elle confirme simplement que le noyau ne va pas s’isoler d’une technologie que ses principaux concurrents exploitent déjà pour programmer, détecter des vulnérabilités et transformer l’interaction avec le système d’exploitation.

Questions fréquentes

Linux autorisera-t-il qu’une IA approuve automatiquement des patches ?

Aucune annonce officielle en ce sens. Les auteurs et mainteneurs restent responsables de la revue, de l’acceptation ou du rejet de chaque changement.

Microsoft utilise-t-il déjà l’IA pour corriger Windows ?

Microsoft confirme que MDASH a aidé à découvrir 16 vulnérabilités intégrées à son processus de mises à jour. Le système peut aussi générer et valider des propositions de correction, mais les décisions finales restent aux équipes de sécurité.

Apple utilise-t-elle des agents pour développer macOS et iOS ?

Xcode 27 intègre des agents d’Anthropic, Google et OpenAI pour écrire et tester des applications. Apple n’affirme pas que ces agents prennent en charge de façon autonome le noyau de ses systèmes.

Quelle est la différence entre Sashiko et Gemini sur Android ?

Sashiko analyse les patches du noyau Linux. Gemini, sur Android, vise les fonctions utilisateur et les agents capables d’interagir avec les applications via les API système.

Source : Linus Torvalds ferme le débat : Linux ne sera pas un projet anti-IA