FFmpeg, Google et la « bouillie » des rapports de bugs générés par IA
Multiplier pour grapiller
Des échanges pimentés ont eu lieu ces dernières semaines entre le projet open source FFmpeg, Google et plusieurs experts en sécurité. Au cœur du débat, le signalement d’un trop grand nombre de problèmes par Google jugés secondaires par l’équipe de FFmpeg. Les discussions houleuses sur le sujet illustrent la problématique du sous-financement des briques logicielles open source essentielles.
Le 14 novembre à 16h00
11 min
Logiciel
Logiciel
FFmpeg est un composant omniprésent, même si vous n’avez jamais croisé sa route. Il est discret, mais il est partout : dans presque tous les navigateurs, VLC, ou encore des produits comme Kodi et Plex. Ce framework, écrit en assembleur, a pour mission de lire et transcoder tous les formats vidéo existants. Il est considéré depuis longtemps comme robuste et très performant.
Cette ubiquité et ces louanges masquent cependant une réalité : FFmpeg est développé par une équipe de bénévoles. Comme de nombreuses briques open source, son financement est difficile et les dons sont essentiels. Une situation mise de nouveau en lumière à la faveur d’un « simple » signalement de sécurité.
Colère montante
Mi-octobre, le compte X de FFmpeg publie plusieurs messages où filtre la colère. On peut lire par exemple que le projet a été accepté par l’initiative européenne YesWeHack pour faciliter la découverte de failles de sécurité. « Aucune réflexion n’a été menée sur le financement des bénévoles qui doivent corriger les bugs gratuitement », ajoute cependant le message.
Dans la foulée, un autre message mettait en avant le cas de Nick Wellnhofer, mainteneur principal de la bibliothèque libxml2, qui critiquait le circuit habituel des signalements de failles de sécurité, autant que le fonctionnement peu ouvert de la Linux Foundation. Il s’en prenait en particulier à Google, dont le Project Zero, décrit comme ce qu’on peut se payer de mieux dans le domaine de la recherche de failles de sécurité, mais venant respirer « sur la nuque des bénévoles ». D'autant plus avec sa politique stricte de publication des détails au bout de 90 jours si aucun correctif n'a été fourni.
Il reste 83% de l'article à découvrir.
Déjà abonné ? Se connecter
Soutenez un journalisme indépendant,
libre de ton, sans pub et sans reproche.
Accédez en illimité aux articles
Profitez d'un média expert et unique
Intégrez la communauté et prenez part aux débats
Partagez des articles premium à vos contacts
FFmpeg, Google et la « bouillie » des rapports de bugs générés par IA
-
Colère montante
-
L’élément déclencheur
-
Un gigantesque fossé dans les points de vue
-
L’épuisement de tout un système ?
Commentaires (46)
Le 14/11/2025 à 16h35
Le 14/11/2025 à 16h43
Le 14/11/2025 à 16h59
Le 14/11/2025 à 17h09
Le 14/11/2025 à 17h24
Modifié le 15/11/2025 à 16h44
Le 14/11/2025 à 17h24
Après ça vaudra ce que ça vaudra, mais sur la masse de problèmes triviaux...
Modifié le 15/11/2025 à 10h13
Le 14/11/2025 à 18h27
Modifié le 14/11/2025 à 19h28
(un système anti robot qui a servi a entraîner des robots, la connerie à l'état pure)
Le 14/11/2025 à 18h39
Le 14/11/2025 à 18h56
C 90.0%
Assembly 8.1%
Makefile 1.3%
C++ 0.3%
Objective-C 0.1%
Cuda 0.1%
Other 0.1%
d’après le dépôt.
quand même sacrément impressionnant !
Modifié le 14/11/2025 à 19h16
https://jbkempf.com/blog/2023/dav1d-1.2.0/
Le 14/11/2025 à 19h15
Du coup là, franchement, c'est dégueulasse de la part de Google de faire un rapport de bug, en IA (donc à la va vite), sur un codec jamais utilisé, en mettant la pression sur les devs pour corriger en 90 jours. Mettre la pression sur des bénévoles (donc non payés) quand t'es Google, ça la fout mal quand même.
Le 15/11/2025 à 01h35
Le 15/11/2025 à 02h13
De plus, je suis pas sûr que ce serait dans l'intérêt de FFmpeg : un fork ne ferait que diviser les bénévoles, et rendrait sa "supériorité idéologique" discutable.
Mais son financement est un vrai problème. Quand on voit des entreprises dire "acheter notre solution, elle est plus efficace et facile d'utilisation que FFmpeg" alors que tout ce qu'ils font c'est une surcouche à FFmpeg, tout ça sans filer le moindre sous au projet, y'a de quoi rendre dingue.
N'empêche les gens de FFmpeg (et de VLC) sont quand même des as. Genre pour faire la transcription en assembleur de la bibliothèque dAV1d, ils ont sorti des tutos d'assembleurs de bases, pour former des gens lambda à le faire. C'est un boulot de fous, rien que ça.
Je suis en admiration devant ces gens.
Le 17/11/2025 à 08h43
Le 17/11/2025 à 08h59
Pour un projet, cela signifie donc récupérer l'accord de l'ensemble des contributeurs, ou, à défaut, le retrait de la contribution.
C'est pour cela aussi que maintenant, certains projets demandent à chaque contributeur la "signature" d'un accord cédant certains droits sur la contribution.
Tu pourras trouver un résumé de l'épopée par la plume même de celui qui a été en charge d'un passage de la GPL à la LGPL pour VLC : Jean-Baptiste Kempf
Le 17/11/2025 à 09h33
Je pensais que quand tu contribuais à un projet libre, tu renonçais automatiquement à tes droits d'auteur, mais j'avais négligé que les droits moraux sont incessibles (au moins en France). 😉
Le 17/11/2025 à 10h38
Le 17/11/2025 à 09h34
Modifié le 17/11/2025 à 09h49
Le 17/11/2025 à 14h35
Or, si je comprends bien, le problème au niveau du logiciel libre, c'est justement le droit moral : les droits patrimoniaux sont abandonnés lorsque la licence appliquée est libre, si je ne m'abuse.
Le 17/11/2025 à 15h08
Le 17/11/2025 à 18h51
Modifié le 17/11/2025 à 23h52
Il lui reste quoi, comme droit patrimonial, à l'auteur, une fois qu'il a libéré son code ?
Peut-être que, légalement, il reste le titulaire des droits patriminiaux, mais dans la pratique, il n'a plus aucune maîtrise.
C'est ça qui m'étonne.
Après, au vu des efforts mis par LibreOffice pour se débarrasser du code de OpenOffice pour des questions de licence, j'imagine qu'il y a bien un blocage juridique quelque part que je ne saisi pas.
Édit : j'ai demandé à Lumo, et la distinction se fait sur le fait qu'il n'y a sue les auteurs qui peuvent donner une licence sur leur œuvre. Et donc en changer reviennant à donner une nouvelle licence, seuls les auteurs peuvent le faire, et donc il faut que TOUS y consentent (sauf à dégager le code fait pas le seul auteur qui veut pas accepter le changement de licence ^^).
Modifié le 18/11/2025 à 09h45
Là, tu décris le domaine public qui est une petite partie du libre (catégories de logiciels).
Pour le domaine public : rien, que le droit moral.
Sinon, pour le reste du libre :
Le 15/11/2025 à 08h25
Qui plus est, une telle licence (payante dans certains cas) ne serait pas libre. Et même si la licence est "presque libre", une partir de la communauté du libre est très bruyante sur ce genre de sujet. Il suffit de regarder le remus ménage fait par des projets massivement utilisés par des opérateurs du cloud quand ils ont changé de licence pour la SSPF par exemple.
Le 17/11/2025 à 08h45
Le 17/11/2025 à 22h06
À quand un % de développeur dédié sur un projet générant un gros profit ? (ou une collaboration au logiciel libre)
Le 14/11/2025 à 20h13
Mon conseil pour les mainteneurs: faire juste le travail que l'on estime raisonnable de faire et accepter de ne pas être un super héro.
Réponse type à envoyer en automatique à google: ce sera fait quand j'aurais le temps, signé avec un doigt d'honneur en ascii art.
Et un nota bene: la boîte â bug sera réinitalisée en cas de dépassement de la limite. Si vous envoyez trop de message, tout sera effacé. Merci.
Le 15/11/2025 à 02h16
Ce qui veut dire que si ce bug n'était pas corrigé dans les 90 jours (suivant la politique de Google) :
1. FFmpeg passe pour un logiciel "dangereux", avec des failles critiques
2. Un attaquant pourrait récupérer les infos de ce CVE divulgué, et créer une vidéo qui utilise ce problème, et rendre le problème réellement dangereux.
Le problème c'est pas le bug en tant que tel, c'est la politique des 90 jours.
Le 15/11/2025 à 16h30
Si cela doit partir en couilles: rien à foutre, ce n'est pas leur responsabilité. Personne n'a à leur mettre la pression (sauf éventuellement celle qui se boit).
1, si FFmpeg passe pour un logiciel dangereux, que va-t-il se passer vu qu'il n'y a pas d'alternative de même envergure ?
2. Si Google rend publique les failles et qu'elles sont massivement exploités, ils seront coupable d'avoir fourni des éléments décisifs pour aider les pirates et donc co-responsables des dégâts occasionnés.
La politique des 90 jours, c'est le problème et la responsabilité de Google et de personne d'autre.
Le 16/11/2025 à 16h21
Modifié le 18/11/2025 à 06h43
Le 15/11/2025 à 01h31
Le 15/11/2025 à 16h35
Et avec cette fatigue et les comportements gerbants des personnes qui profitent des associations avec des exigences que l'on pourrait éventuellement avoir de société commerciale, j'ai de plus en plus de détachement.
Je n'ai pas de temps à perdre pour les cons.
Le 14/11/2025 à 21h33
Le 15/11/2025 à 01h29
Le 15/11/2025 à 06h04
Je trouve effectivement que financer la découverte, mais pas la correction, correspond bien à l’idée que trouver des failles est beaucoup plus coûteux que les corriger, ce qui est le plus souvent vrai, mais néglige quand même un peu trop l’aspect correction.
Le 17/11/2025 à 08h53
Le 15/11/2025 à 07h17
Ca m'a rappelé l'échange qu'il y a eu a propos de log4j ou des grosses société avait contacté le dev bénévole pour lui demander un délai et une correction rapide
J'admire tout ces gars, c'est des passionnés mais même s'ils sont conscients et sûrement fiers de ce que implique la licence openssource, je comprends que voir utiliser ton travail massivement par des grands groupes sans aucune contrepartie est démoralisant
Le 15/11/2025 à 10h22
Le 15/11/2025 à 15h36
Le 16/11/2025 à 09h46
Modifié le 16/11/2025 à 01h46
Je ne vois pas comment des communs pourraient être défendus ailleurs que dans l'espace public.
Il faudrait que des institutions, par exemple en commençant par les nôtres, s'emparent du sujet de la protection du travail, et mènent une réflexion sur le financement de telles initiatives, comme le libre.
Il n 'y a pas si longtemps étaient encore évoquées des pistes comme le revenu universel ou une licence universelle (mêmes si des détails de rouages font passer par des réflexions différentes).
Le travail ne devrait légalement plus être considéré comme uniquement le fruit d'un emploi, car de tout temps une quantité incroyable de travail est effectué en-dehors de ce carcan.
Les communs représentent une part considérable dans notre existence, bien plus que chacun le soupçonne, au point qu'elle serait impossible sans. Si demain les profiteurs se trouvaient coupés des communs, tout, absolument tout, s'effondrerait.
La valorisation du travail passe aussi par sa protection contre la prédation/l'extraction de la part des rentiers, profiteurs habituels aspirant le travail des autres sans correctement ni rémunérer ni contribuer.
Cela tombe bien : depuis les débuts, Stallman et sa FSF militent pour la protection/garantie des droits par licence.
Sauf que… pour qu'un droit soit applicable, il faut que des moyens de l'appliquer existent, c'est tout l'équilibre fragile qui commence à nouveau à avoir été récemment mis en échec que l'on peut observer au niveau des lois internationales. Si donc, notre législation et notre appareil judiciaire s'attachaient à permettre l'application (et donc la défense par l'attaque des extracteurs) de ces licences, cela ouvrirait rapidement la discussion sur le préjudice, donc le financement du travail non-salarié.
L'application de cette législation pourrait très facilement déboucher sur de la régulation concernant l'utilisation de communs par des structures à but lucratif. Ce serait sans nulle doute une pilule vertigineusement difficile à avaler pour les profiteurs qui ne voient pas le problème de pomper le travail du libre en ne le considérant que comme "gratuitement utilisable", ce qu'il n'est pourtant pas sans strictes conditions.
Mais quand on voit que c'est mission impossible de récupérer une fraction infinitésimale d'une richesse bien trop grande pour être à la fois honnête & utile dans le pot commun profitable à tous… d'un coup, d'un seul, la dichotomie devient le Grand Canyon.
Tout les ingrédients sont là : culture libre, licence en protégeant le fruit, commun installés couvrant tout un tas de savoir(-faire), passionnés faisant vivre des projets du bout de leurs brindilles.
Il ne manque donc plus "que" :
- une culture informatique dans la société, puis amenée/appuyée au niveau des représentants politiques
- une culture du libre dans la société, puis amenée/appuyée au niveau des représentants politiques
- une volonté politique qui retrouve la seule raison d'être d'un État : la défense des plus faibles éléments de la Nation
Cela peut prendre quelques mois ou quelques millénaires, selon si l'on est plutôt optimiste ou désabusé.
Signaler un commentaire
Voulez-vous vraiment signaler ce commentaire ?