L’infrastructure open source sous tension : financements, conflits et sécurité matérielle

Publiée à 08h15 UTC sur le site du fonds, cette annonce clôt une semaine dense en actualités open source, allant des front ends de compilateurs aux plaintes pour piratage dans l’industrie musicale. Le sujet compte car cette couche est généralement invisible tant qu’elle ne tombe pas en panne.

Le Open Source for Science Fund estime qu’environ 200 nouveaux modèles scientifiques open source ou à poids ouverts sont partagés chaque mois sur Hugging Face. Les téléchargements de ces modèles dépassent les 40 000 000. Chacun dépend de bibliothèques maintenues par une poignée de contributeurs. Georgia Channing, responsable de l’IA pour la science chez Hugging Face, a souligné que ESM-2, un modèle de langage pour les protéines publié en 2 022, est encore téléchargé des centaines de milliers de fois par mois. Cela n’est possible que grâce à la maintenance continue du logiciel qui l’entoure.

Le fonds est une initiative de Renaissance Philanthropy, lancée par Biohub et Wellcome. Dario Taraborelli, son directeur, décrit le travail comme une manière de rendre visible la couche logicielle afin de cibler le soutien et les investissements là où ils sont nécessaires.

Les racines de la confiance passent de la spécification au déploiement

Le matériel suit le même chemin, plus lentement et avec plus de paperasse. Semiengineering a publié le 1er octobre une analyse sponsorisée. Elle soutient que les conceptions de racine de confiance en silicium ouvert comme Caliptra entrent désormais en production. La difficulté ne réside pas dans le choix d’une architecture, mais dans son opérationnalisation. L’article liste les tâches qui suivent l’adoption : étendre la confiance sur toute la puce SoC, exposer les services cryptographiques au logiciel, coordonner le démarrage sécurisé entre les sous-systèmes et intégrer l’attestation avec la gestion de la plateforme. S’y ajoutent la certification, les flux de provisionnement, la politique de cycle de vie et la correction des vulnérabilités.

Pour prétendre à la conformité de la marque, les fournisseurs doivent compléter un processus de conformité par rapport à la liste de contrôle d’intégration de Caliptra, indique l’article. Les opérateurs cloud l’attendent de plus en plus. L’écart entre une conception de référence ouverte et une puce commerciale est là que se situe l’essentiel des coûts.

Chaînes d’outils, licences et une liste de piratage

La semaine a aussi vu des sorties plus discrètes. Le front end EDG C/C++, un analyseur longtemps licencié commercialement, est apparu le 30 septembre comme un dépôt open source sur GitHub. Il comprend un back end générant du C, un back end générant du C++, un pré-lien et un dénommage. Le même jour, EDACrux, une suite EDA open-core en version 1.0, a été lancée avec un niveau gratuit et une tarification Pro à partir de 39 dollars par mois et par produit. Explainroo, un cadre qui transforme un script en MP4 narré utilisant le modèle vocal Kokoro et la synchronisation Whisper, fonctionne localement. VoxScribe, une application de dictée pour Windows basée sur faster-whisper, a été publiée le même jour. Son installeur non signé déclenche des avertissements SmartScreen au premier lancement.

Toute l’attention n’est pas bienvenue. TorrentFreak a rapporté le 30 septembre que l’IFPI a demandé que yt-dlp soit ajouté à la liste européenne de surveillance des contrefaçons et du piratage pour 2 027. Quatre mainteneurs sont nommés par leurs identifiants GitHub. La soumission soutient que la nature open source de l’outil, sa communauté de développeurs et sa distribution rendent difficile son endiguement. TorrentFreak note que l’appel ne demande aucune suppression, aucune mesure de blocage ni action contre les développeurs, et ne mentionne pas les usages légaux.

Les nouvelles de financement vont dans l’autre sens. DIG Ventures a clôturé un troisième fonds de 120 M$ le 1er octobre pour soutenir environ 30 entreprises européennes en pré-graine et graine développant des infrastructures IA, selon Tech.eu et The Next Web. Sa thèse est que lorsque l’IA rend le code moins cher à écrire, la valeur défendable se déplace vers les couches de données, d’identité, de conformité et d’orchestration sous-jacentes.

Deux fils traversent l’ensemble. L’infrastructure ouverte est bon marché à utiliser et coûteuse à maintenir. Les personnes qui la maintiennent sont rarement celles qui reçoivent des financements ou sont nommées dans une soumission politique.