La contestation s’amplifie après la décision de NHS England de retirer du code open source par crainte du piratage par IA

La réponse de sécurité de NHS England a déclenché une bataille autour de la transparence

NHS England fait face à une opposition croissante après avoir demandé au personnel que les logiciels existants et futurs soient retirés de la vue du public d’ici le 11 mai, en raison d’inquiétudes selon lesquelles des systèmes d’IA pourraient identifier des vulnérabilités dans le code ouvert. La mesure, décrite par ses détracteurs comme inefficace et nuisible, suscite un tollé grandissant parmi des technologues, des militants et d’anciens responsables, qui estiment que fermer le code ne fait pas grand-chose pour améliorer la sécurité tout en sapant la transparence et la réutilisation.

Au cœur de la controverse se trouve une nouvelle catégorie d’analyse logicielle assistée par l’IA. Selon le rapport source, l’inquiétude s’est intensifiée après des informations indiquant que Mythos, une IA créée par Anthropic, pouvait découvrir des failles dans pratiquement n’importe quel logiciel. La réponse de NHS England a été de dire au personnel que le code développé avec des fonds publics devait rester à l’abri des regards plutôt que d’être librement disponible en ligne.

La décision va à l’encontre de la politique existante

Cette mesure est controversée en partie parce qu’elle va directement à l’encontre du standard de service du NHS, qui exige que les logiciels produits par le personnel soient open source afin qu’ils puissent être réutilisés, améliorés et développés sans duplication d’effort. Les défenseurs de l’open source soutiennent que cette approche n’est pas seulement plus efficace pour le secteur public, mais qu’elle est souvent aussi plus sûre, car davantage d’examinateurs peuvent inspecter et améliorer le code.

Une lettre ouverte demandant à NHS England de revenir sur sa décision a rapidement recueilli des centaines de signatures, dont celles de l’auteur Cory Doctorow et de l’ancien ministre britannique de la Santé Matt Hancock. Dans des commentaires mis en avant par le rapport, Hancock a qualifié la politique de grave erreur et a affirmé que le code financé par des fonds publics devrait rester accessible au public qui l’a payé.

Les critiques disent que le secret n’est pas la sécurité

L’objection la plus forte est technique plutôt qu’idéologique. Les experts cités dans le rapport estiment que retirer le code des dépôts publics n’améliorera pas sensiblement la sécurité. Si des outils d’IA peuvent aider à identifier les vulnérabilités, les défenseurs peuvent eux aussi les utiliser. Plus important encore, garder le logiciel privé ne supprime pas les défauts ; cela change seulement qui peut les examiner.

Vlad-Stefan Harbuz, de l’Université d’Édimbourg, co-auteur de la lettre ouverte, a déclaré que son groupe avait utilisé Mythos pour analyser le code open source du NHS et avait trouvé un petit nombre de vulnérabilités relativement graves, qui avaient été divulguées de manière responsable avant le changement de politique actuel. Ce détail complexifie l’affaire. Il montre que la menace est suffisamment réelle pour produire des résultats exploitables, mais il renforce aussi l’argument des critiques selon lequel la réponse pratique consiste à auditer et corriger, et non à dissimuler.

Une question plus large sur les logiciels publics à l’ère de l’IA

Le cas du NHS met en lumière un dilemme plus vaste auquel de nombreuses institutions publiques seront confrontées. Les logiciels open source sont depuis longtemps défendus au nom de l’efficacité, de l’interopérabilité, de la responsabilité et de la sécurité obtenue par l’examen. L’analyse de code assistée par l’IA modifie l’économie de cet examen en réduisant le coût de la recherche de bogues, à la fois pour les défenseurs et pour les attaquants. La question est de savoir si ce changement invalide l’ancienne logique de l’open source ou rend la maintenance rigoureuse encore plus importante.

NHS England semble agir sur l’hypothèse que la visibilité publique crée désormais trop de risques. Les opposants soutiennent le contraire : lorsque l’IA facilite la découverte des vulnérabilités, la réponse consiste à renforcer les correctifs, l’audit et la gouvernance, et non à revenir en arrière sur l’ouverture.

Pourquoi cela dépasse le NHS

Cette bataille comptera au-delà du système de santé britannique, car les gouvernements du monde entier réévaluent le risque numérique sous la pression d’outils d’IA de plus en plus puissants. Si une grande institution publique décide que l’ouverture du code n’est plus tenable, d’autres pourraient suivre. Si la réaction l’emporte, elle pourrait renforcer l’idée que la transparence reste compatible avec une sécurité renforcée, à condition que les institutions investissent dans des pratiques défensives modernes.

Pour l’instant, NHS England a transformé une préoccupation technique de sécurité en test politique très médiatisé. La crainte sous-jacente est compréhensible : l’IA pourrait rendre plus facile la découverte de failles à grande échelle. Mais les critiques posent une question plus difficile. Cacher le code constitue-t-il une véritable défense, ou simplement une réaction visible à une menace qui évolue rapidement ? La réponse pourrait façonner la manière dont les logiciels du secteur public sont gouvernés bien au-delà du NHS.

Cet article s’appuie sur un reportage de New Scientist. Lire l’article original.