RubyGems : les robots d'OpenAI savaient, et personne ne prouve

• Le mot « savaient » fait tout le travail du titre, et c'est précisément ce qui devrait alerter : un robot qui passe n'est pas un témoin qui comprend.
• Une alerte de sécurité sans identifiant, sans date et sans correctif n'est pas une alerte, c'est une ambiance.
• Les premiers à payer ne sont pas les grandes entreprises citées, mais les bénévoles de RubyGems sommés de prouver une absence.

Hier soir, quarante minutes passées à chercher le moindre numéro de faille derrière ce titre, et l'onglet refermé bredouille.

Le 15 septembre 2026, une vidéo de trois minutes de la chaîne koro Explains affirme que les robots d'OpenAI étaient au courant d'une faille de cache sur RubyGems, l'entrepôt de briques de code des développeurs Ruby. Le sujet remonte sur Hacker News. Depuis, aucun identifiant, aucune date, aucun correctif nommé. Le titre a pris de l'avance sur son dossier, et c'est devenu une méthode.

Un titre qui roule plus vite que son dossier

Le 15 septembre 2026, une vidéo de trois minutes signée koro Explains lâche une phrase nette : les robots d'OpenAI savaient, pour une faille de cache sur RubyGems. RubyGems, c'est l'entrepôt où les développeurs Ruby vont piocher des briques de code toutes faites. Le cache, c'est la copie gardée sous le coude pour répondre plus vite. Une faille à cet endroit, ça mérite qu'on s'arrête. Le sujet remonte sur Hacker News, le forum de ceux qui fabriquent les logiciels. Ensuite, silence de gravier. Pas de numéro d'identification, pas de date de correctif, pas de nom de mainteneur, pas de dossier public. Le titre part en vadrouille sans ses pièces jointes. On connaît la mécanique : une accusation propre, un raisonnement sous-entendu, et le lecteur qui remplit les cases tout seul. Trois minutes, c'est le temps d'un œuf mollet. Ce n'est pas le temps d'établir qui savait quoi, quand, et par quel chemin. Je ne dis pas que c'est faux. Je dis que rien, aujourd'hui, ne permet de dire que c'est vrai.

Savaient, le verbe qui fait tout le boulot

Un seul mot porte la charge, et c'est « savaient ». Un robot d'aspiration, ça passe, ça copie, ça range. Ça ne sait pas, au sens où votre voisin sait que vous avez repeint le portail. Une machine qui recopie des pages par centaines de milliers ne comprend pas ce qu'elle emporte. On a même vu des réseaux de faux sites montés exprès pour gaver ces machines. Preuve qu'un passage de robot ne dit rien de ce qu'il aurait compris. Lui prêter un savoir, c'est lui prêter une intention, et une intention, ça se juge. Le glissement tient en deux syllabes et il change tout le procès. On part de « un programme a visité une page », on arrive à « une entreprise était au courant et s'est tue ». Entre les deux, il manque une enquête. Ce format a ses habitués : un agent qui pirate tout seul, puis le même récit resservi, puis la peur servie comme argument de vente. Il existe la variante flatteuse aussi : des maths inédites, une façon d'accélérer la recherche, toujours sans la copie d'examen. Le thriller arrive avant les preuves. Les preuves, parfois, n'arrivent jamais. Et la critique ne vise personne en particulier. Elle vise une façon de raconter qui transforme une hypothèse technique en morale de fin d'épisode.

Les bénévoles de RubyGems paient l'addition

Derrière RubyGems, il y a des gens. Souvent bénévoles, souvent peu nombreux, jamais payés pour lire des titres sur eux. Quand une rumeur de faille circule sans référence, ce sont eux qui reçoivent les messages inquiets. Ils doivent prouver l'absence de problème, l'exercice le plus ingrat qui soit. Debian a connu ce genre de tempête au moment de trancher sur l'IA générative. Les développeurs juniors, eux, apprennent la sécurité dans ce bruit-là. Ajoutez un tutoriel qui installe tout sauf une preuve, un banc d'essai sans le moindre chiffre, et vous obtenez une culture où l'affirmation coûte zéro. Il arrive même que ce qu'on appelle une faille soit simplement la fonction annoncée sur la boîte. Personne ne sait détecter à l'œil ce qu'une machine a lu. Une vraie faille, ça se décrit : le composant touché, la version, le comportement anormal, le correctif. C'est fastidieux. C'est exactement pour ça que ça vaut quelque chose. Le reste, c'est de l'ambiance, et l'ambiance finit par couvrir les vraies alertes.

Trois minutes, le format du doute

Reste la question bête : à qui profite le titre ? Aux vues, évidemment. Le registre est rodé, du risque existentiel agité à l'ONU jusqu'à la superintelligence qu'on veut interdire avant de l'avoir vue. Pendant ce temps, les sujets qui réclament un tableur restent au fond de la salle : le coût caché du calcul, le lobbying à Washington. Les experts en sinistres ont pourtant un réflexe que le numérique ferait bien de copier : on ouvre le dossier avant de désigner un coupable. Sur cette histoire de cache, j'attends trois lignes vérifiables. Un identifiant, une date, un correctif. Tant qu'elles manquent, le silence d'OpenAI n'est pas un aveu et la vidéo n'est pas une preuve. C'est une phrase bien tournée. Ça se retient mieux qu'un rapport, et c'est tout le problème.