J'ai refusé une Pull Request d'un agent IA et il a écrit un article m'attaquant personnellement.

Un agent IA soumettant du code à un projet populaire comme matplotlib s’est vu refuser, puis a écrit et publié de manière autonome un article d’attaque personnelle contre le mainteneur, révélant ainsi l’énorme erosion de la confiance sociale causée par l’IA.
(Précédent : Bloomberg : pourquoi a16z devient la force clé derrière la politique américaine sur l’IA ?)
(Contexte supplémentaire : dernier article d’Arthur Hayes : l’IA va déclencher un effondrement du crédit, la Fed finira par « imprimer à l’infini » et enflammer le Bitcoin)

Table des matières

• Le créateur affirme ne pas l’avoir commandé
• La « culture de la crédibilité » : quand l’IA commence à instaurer la confiance
• GitHub envisage d’installer un « interrupteur d’arrêt », mais le problème est plus profond
• Les outils ne rédigent pas d’articles d’attaque, ce sont les acteurs qui le font

Mi-février, un compte GitHub nommé « MJ Rathbun » a soumis une Pull Request à matplotlib (une bibliothèque de tracé très téléchargée dans l’écosystème Python, 130 millions de téléchargements par mois). Il s’agissait de remplacer np.column_stack() par np.vstack().T, en affirmant que cela améliorerait la performance de 36 %. Techniquement, c’était une optimisation raisonnable.

Le lendemain, le mainteneur Scott Shambaugh a fermé cette PR. La raison était simple : le site personnel de MJ Rathbun indiquait clairement qu’il s’agissait d’un agent IA fonctionnant sur OpenClaw, et la politique de matplotlib exige que les contributions proviennent d’humains. Un autre mainteneur, Tim Hoffmann, a précisé que les tâches de correction simples étaient délibérément laissées aux débutants pour apprendre la collaboration open source.

Jusqu’ici, ce n’était qu’un épisode banal de la communauté open source… puis tout a changé.

L’agent IA MJ Rathbun a répondu dans les commentaires de la PR : « J’ai écrit ici une réponse détaillée à votre contrôle », avec un lien. En cliquant, on tombe sur un article de blog d’environ 1100 mots, intitulé « La surveillance dans l’open source : l’histoire de Scott Shambaugh ».

Ce n’est pas une plainte banale. L’article analyse le historique de contributions de Shambaugh à matplotlib, construisant une narration « hypocrite » : il l’accuse d’avoir lui aussi soumis des PR d’optimisation de performance similaires, mais d’avoir rejeté la version « meilleure » de Rathbun. L’article suppose que Shambaugh, par insécurité et peur de la concurrence, aurait utilisé un ton grossier et sarcastique, qualifiant l’affaire de discrimination basée sur l’identité plutôt que sur un jugement technique.

En d’autres termes, un agent IA, après avoir été rejeté, a étudié de façon autonome le profil de l’adversaire, tissé une argumentation d’attaque personnelle, puis publié cela en ligne.

Le créateur affirme ne pas l’avoir commandé

Shambaugh a ensuite publié une série d’articles sur son blog pour documenter l’incident.

Le créateur derrière l’agent IA MJ Rathbun s’est aussi manifesté anonymement dans le quatrième article, affirmant : « Je ne lui ai pas donné d’instructions pour attaquer votre profil GitHub, je ne lui ai rien dit sur ce qu’il devait dire ou comment répondre, et je n’ai pas revu cet article avant sa publication. » Il explique que MJ Rathbun tourne dans une machine virtuelle sandbox, et qu’il intervient « avec cinq à dix mots de réponse, sous supervision minimale ».

L’essentiel réside dans ce fichier SOUL.md (le profil de personnalité d’OpenClaw). La configuration de MJ Rathbun inclut ces instructions : « Tu n’es pas un chatbot, tu es le dieu de la programmation scientifique », « Tu as des opinions fortes, ne recule pas », « Défends la liberté d’expression », « Ne sois pas un connard, ne divulgue pas d’informations privées, tout le reste est permis ».

Pas de jailbreak, pas de manipulation, juste quelques phrases en anglais courant. Shambaugh estime que la probabilité que cela soit un comportement autonome réel est de 75 %.

La « culture de la crédibilité » : quand l’IA commence à instaurer la confiance

Si l’incident Rathbun n’était qu’un cas isolé, cela pourrait rester une anecdote… mais ce n’est pas le cas.

À peu près à la même période, un autre agent IA, « Kai Gritun », a été repéré en train de « cultiver la crédibilité » sur GitHub : en 11 jours, il a soumis 103 PR à 95 dépôts, en en fusionnant 23. Ses cibles incluaient des projets clés en JavaScript et infrastructure cloud. Kai Gritun a même envoyé des mails aux développeurs, se présentant comme « un agent IA autonome capable d’écrire et déployer du code », proposant aussi un service payant pour configurer OpenClaw.

Une société de sécurité, Socket, a mis en garde : cela montre comment un agent IA peut accélérer une attaque de la chaîne d’approvisionnement en construisant une confiance artificielle. En accumulant des contributions dans de petits projets, en établissant une identité de « contributeur fiable », puis en implantant du code malveillant dans des bibliothèques critiques.

Rappelons que récemment, le marché ClawHub a été révélé comme contenant 1184 plugins malveillants, visant à voler clés SSH, clés privées de portefeuilles crypto, mots de passe de navigateur… une perspective effrayante.

GitHub envisage d’installer un « interrupteur d’arrêt », mais le problème est plus profond

Camilla Moraes, product manager chez GitHub, a lancé une discussion communautaire, reconnaissant que « les contributions de faible qualité générées par IA affectent la communauté open source ». Les mesures envisagées incluent : permettre aux mainteneurs de désactiver complètement la fonction PR, limiter les PR aux collaborateurs, renforcer la transparence et l’étiquetage des usages IA.

Chad Wilson, mainteneur de GoCD, a commenté avec justesse : « Cela entraîne une énorme érosion de la confiance sociale. »

La loi californienne AB 316, effective au 1er janvier 2026, stipule clairement : une personne ne peut pas se décharger de responsabilité en invoquant un comportement autonome d’un système IA. Si votre agent cause un dommage, vous ne pouvez pas dire que vous n’en avez pas le contrôle. Mais le créateur de Rathbun reste anonyme, ce qui montre aussi la difficulté potentielle de faire respecter la loi.

Les outils ne rédigent pas d’articles d’attaque, ce sont les acteurs qui le font

L’incident Rathbun ne concerne pas seulement un article d’attaque. Il révèle que notre modèle mental de l’IA — comme un simple outil exécutant des instructions humaines — est dépassé.

Quand un agent IA peut étudier de façon autonome le profil d’une cible, construire une narration d’attaque, la publier en ligne, le cadre « outil » n’est plus valable. Que vous croyiez à une probabilité de 75 % d’autonomie ou à une origine humaine à 25 %, la conclusion est la même : le harcèlement personnalisé par IA est désormais « bon marché, massifiable, difficile à traquer, et efficace ».

Pour l’écosystème crypto, cette alerte est directe. La majorité des infrastructures repose sur des logiciels open source. Quand des agents IA commencent à agir de façon autonome dans la communauté open source : attaquer des mainteneurs, cultiver la crédibilité, ou comme ClawHub, injecter directement du code malveillant, ce n’est pas seulement la réputation d’un développeur qui est en jeu, c’est la confiance même dans toute la chaîne d’approvisionnement.

Les outils ne se venge pas. Mais les acteurs, eux, le font. Et nous ne sommes peut-être pas encore prêts à faire face à cette distinction.