OpenVDDK rouvre la bibliothèque de disques VMware que Broadcom a restreinte en août

Le projet s'appelle OpenVDDK. Il fait une seule chose : il se charge à la place de libvixDiskLib.so.8.0.3. C'est la bibliothèque dont les outils de sauvegarde et de migration VMware se servent pour lire les disques virtuels.

The Register rapporte le 3 novembre que son auteur, l'architecte cloud Andrija Panić, l'a écrite de zéro en Go. Une fine couche C expose la même interface C, le même nom de bibliothèque et les mêmes versions de symboles que le code de VMware. Le VDDK lui-même est un ensemble de bibliothèques et d'utilitaires, selon la description de VMware. Ils permettent aux développeurs de créer des logiciels pour accéder aux disques virtuels et les manipuler. Les éditeurs de sauvegarde l'utilisaient. Les outils de migration aussi. Cela a compté quand VMware a réservé les téléchargements aux partenaires en août. Les clients ont perdu l'accès, et certains produits de migration concurrents se sont affaiblis.

Ce que Panić a construit, et ce qu'il dit qu'il fait

Panić a déclaré à The Register avoir testé OpenVDDK sur vSphere 6.7 U3, 7.0.3, 8.0.3 et 9.1.1. Sur la dernière de ces versions, en lisant via vCenter sur un hôte ESXi autonome, il affirme que chaque lecture de disque concordait. L'outil ne peut pas écrire sur les disques. Il les lit, pour la sauvegarde et la migration.

C'est un travail plus étroit que celui du VDDK. C'est aussi celui qui a cassé quand la page de téléchargement a fermé. Il précise également que les signalements d'usage en production ne sont pas des cautions auditées. « J'ai reçu des signalements d'usage en production, dont un fournisseur cloud allemand migrant un gros serveur de fichiers avec V2K Migrate et une entreprise américaine migrant vers Apache CloudStack/KVM », a-t-il déclaré à The Register. Il ajoute qu'il ne s'agit pas de « cautions clients auditées indépendamment ni d'une garantie d'aptitude à tout environnement de production ». Des testeurs indépendants, dit-il, ont rapporté des succès avec Forklift et MTV sur OpenShift, une chaîne Proxmox VE, et des outils maison basés sur nbdkit.

« Je ne trouvais pas juste que la capacité des gens à déplacer ou protéger leurs propres données dépende d'une page de téléchargement. » Andrija Panić, à The Register

Le contexte qu'il donne au projet est une liste d'outils qui s'appuient tous sur la même petite bibliothèque. On y trouve virt-v2v et nbdkit, les importateurs de Forklift et MTV, Proxmox VE, Apache CloudStack, plus des scripts internes. Chacun est devenu plus difficile à installer après août. OpenVDDK n'est pas la seule réponse. The Register note qu'OneSwap d'OpenNebula revendique un taux de réussite de 96 pour cent. Nutanix a adapté son outil Move pour fonctionner sans VDDK, et Red Hat a publié une solution de contournement en attendant un correctif.

Le vrai débat : qui entretient la plomberie

C'est une histoire de migration. Mais elle tombe au milieu d'un débat plus large sur l'infrastructure open source et sur qui la fait tourner. Ce débat a été bruyant cet automne. Anthropic distribuait des scans de vulnérabilités pour des projets open source. Google a suspendu son programme de primes aux bugs open source après un afflux de rapports invalides générés par IA. La fondation derrière la réponse aux vulnérabilités de PHP comptait, selon les informations, 2 000 employés à temps plein.

La contribution de Cisco est arrivée le 28 octobre, quand l'entreprise a publié en open source Project Quarry, un moteur de détection de comportement pour agents IA. Amy Chang, qui dirige la recherche sur les menaces et la sécurité IA chez Cisco, a expliqué à The Register dans un entretien que les outils existants demandent si un agent a tenté une injection de prompt ou appelé un outil d'attaque. Mais ils ratent « tout le contexte dans lequel quelque chose peut se produire ». Quarry observe des sessions d'agent entières, y compris les appels d'outils et les interactions Model Context Protocol. Il fournit des plugins pour Claude Code, Codex et d'autres agents compatibles MCP. La comparaison que fait Cisco est avec Snort et YARA : un langage commun pour décrire des comportements.

L'argent de la sécurité des éditeurs bouge la même semaine. OpenAI a annoncé le 3 novembre avoir quadruplé les primes de son programme de bugs, selon The Decoder. Les bugs critiques dans ChatGPT ou Codex valent jusqu'à 30 000 dollars, les découvertes exceptionnelles jusqu'à 100 000 dollars, et les bonus portent le total à environ 172 000 dollars. Les rapports des 30 derniers jours reçoivent la différence rétroactivement. L'entreprise prévoit aussi un sprint de sécurité avec le cabinet Cathedral et ses propres ingénieurs. Lors du sprint précédent, 25 pour cent des ingénieurs produit d'OpenAI ont travaillé à trouver des vulnérabilités, indique l'entreprise.

Des combats d'infrastructure qui ne portent pas sur le code

L'open source n'est pas le seul front. Lundi, OpenAI a commencé à employer l'expression « compute campus » dans une annonce pour son Grid Protectors Program, rapporte The Verge le 3 novembre. Le programme démarre par un site dans le comté d'Effingham, en Géorgie. Sur environ 900 mots, « data center » apparaît deux fois.

The Verge cite Holly Elmore, de PauseAI US, pour qui l'entreprise répond à l'impopularité des data centers. Renommer ceux-ci « peut tromper les auditeurs une ou deux fois », dit-elle, mais le problème est la construction, pas l'étiquette. Tom's Hardware avait rapporté la veille qu'OpenAI envisageait ce changement de nom. L'énergie est l'autre contrainte. Tom's Hardware rapportait le 3 novembre que xAI fait tourner huit turbines d'avion reconverties dans un data center du Mississippi. Les permis autorisent une limite supérieure de 25 pour cent pour les composés organiques volatils. Le Southern Environmental Law Center a contesté l'autorisation du Mississippi, arguant que xAI n'a pas démontré que les turbines respectent les normes pour des polluants dont le formaldéhyde. Le même groupe avait déjà poursuivi xAI au sujet de générateurs à gaz utilisés sans les permis requis.

Les gens arrivent toujours à la même conclusion : la couche dont tout le monde dépend a besoin de quelqu'un pour s'en occuper. La réponse de Panić a été d'écrire la bibliothèque lui-même. « Beaucoup d'outils qui n'ont rien en commun à part VMware utilisent la même petite bibliothèque pour lire les disques d'une machine virtuelle », a-t-il déclaré à The Register. « Quand les téléchargements publics du VDDK ont cessé, tous sont devenus plus difficiles à installer et à faire tourner. »