Une revue, pas un verdict
Une étude commandée par le gouvernement britannique et publiée le 7 septembre 2026 a examiné la littérature de cybersécurité sur les logiciels et l’IA open source. Menée par des chercheurs de l’Université de Greenwich, elle constitue une recherche indépendante et non une politique du gouvernement du Royaume-Uni.
Ce que les chercheurs ont examiné
Le résumé de la publication indique que l’équipe a examiné 14 561 références universitaires et en a retenu 43 répondant à ses critères. Il fait état de 172 documents de littérature grise, avec une analyse de GitHub et de Hugging Face. L’introduction du rapport en mentionne toutefois 126, une incohérence interne non résolue qui limite la confiance dans la taille annoncée du corpus.
La lacune centrale
L’étude constate d’importantes lacunes de preuves, surtout pour la gouvernance en amont de l’IA open source : manière dont les modèles sont développés, documentés, publiés et maintenus avant qu’un responsable du déploiement ne les adapte à un usage précis.
Pourquoi les étiquettes ne suffisent pas
« Open source » décrit des choix d’accès et de licence, pas un état de sécurité uniforme. Les risques diffèrent entre code source, poids de modèles, jeux de données, interfaces et applications déployées. Les systèmes fermés peuvent masquer des faiblesses ; les systèmes ouverts élargissent l’examen, mais peuvent aussi faciliter la redistribution de composants puissants.
Une responsabilité partagée
La sécurité dépend des développeurs, plateformes d’hébergement, distributeurs, responsables du déploiement et utilisateurs. Une documentation claire, le signalement des vulnérabilités, les contrôles d’accès et les mises à jour peuvent compter davantage qu’une simple étiquette ouvert ou fermé.
Ce que les preuves ne démontrent pas
Une revue de littérature peut révéler des tendances et des angles morts, mais ne peut établir que tous les modèles ouverts sont plus sûrs ou plus dangereux que les modèles fermés. La conclusion dépend de la qualité et de la portée d’études que le rapport juge encore incomplètes.
Source primaire
Page officielle et rapport. Consulté le 12 septembre 2026.