# OpenSSF : la sécurité systémique au cœur du développement open source _Publié le 6 novembre 2026 — https://ip73.fr/2026/11/06/openssf-la-securite-systemique-au-cur-du-developpement-open-source/_ L'écosystème open source, qui grandit à une vitesse sans précédent, impose désormais de considérer la sécurité non plus comme une option, mais comme un garde-fou proactif inscrit dès les premières étapes du cycle de développement logiciel. C'est le constat qui a animé le Community Day Europe 2026 d'OpenSSF à Prague, où plus de deux cents participants – développeurs, responsables de la politique, et leaders en sécurité – ont échangé sur des défis très concrets. La journée s'est articulée autour de deux axes : une piste principale axée sur la stratégie communautaire et les outils, et une piste SCORED dédiée à la recherche académique et aux études sur la chaîne d'approvisionnement technique. Les thèmes abordés sont vastes, allant de la sécurisation des pipelines d'intelligence artificielle à la manière d'intégrer concrètement le Cyber Resilience Act européen. Sur la piste principale, les discussions ont été fortement orientées vers l'IA. Dmitry Tantsur (Red Hat) et Tuomo Tanskanen (Ericsson) ont partagé des enseignements tirés de l'analyse de sécurité sur Metal3 et OpenStack Ironic. De plus, Sheng Sun et Sarah Evans (Dell Technologies) ont introduit la provenance vérifiable de l'IA pour combler le manque d'attestation dans les chaînes de ML. Sal Kimmich a exploré les limites de l'autonomie de l'IA en travaillant sur des outils pour contrôler les interactions des agents IA avec le noyau. Le cadre réglementaire européen est également au cœur des préoccupations. Michael Schuster a fait le point sur les développements actuels du CRA. Annika Kristin Niemann a ensuite examiné la responsabilité de la chaîne d'approvisionnement sous le CRA et la Directive sur la responsabilité du fait des produits. Un panel réunissant Roman Zhukov (Red Hat), Daniel Appelquist, Madalin Neag (OpenSSF) et Megan Knight s'est concentré sur la manière d'opérationnaliser le CRA en faisant le lien entre la politique, la pratique et la communauté. Gergely Csatari et Timo Perala ont précisé les étapes pratiques pour transformer les obligations du CRA en une diligence raisonnable quotidienne dans le monde open source. La transparence et la robustesse des infrastructures fondamentales ont nécessité une attention particulière. Kris Borchers (OpenSSF) et Carlos O’Donell (Red Hat) ont abordé le financement des infrastructures sécurisées pour GLIBC et la chaîne d'outils GNU. Francis Perron (Linux Foundation) a présenté le Projet Akrites pour la gestion des vulnérabilités. Un point récurrent, souligné par Mario Fahlandt et Koray Oksay, est que les listes de composants (SBOM) sont inutiles sans la possibilité de les découvrir. En parallèle, la piste SCORED a offert un espace aux chercheurs pour des analyses plus pointues. Luca Galli a exploré pourquoi les LLM nécessitent une surveillance continue SCA/SAST. Run Hao a présenté SandScope, un niveau d'audit comportemental pour les outils de la chaîne d'approvisionnement des agents IA basés sur le Protocole de Contexte Modèle (MCP). Des études empiriques ont marqué la journée : Aman Sharma a détaillé les attaques binaires de type « trusting-trust » contre les distributions Linux. Lukas Gehrke a présenté une étude à grande échelle sur les différences de génération de SBOM, tandis que Philippe Boinot et Alan Prado ont analysé comment les ambiguïtés de spécification mènent à des SBOM divergents. Il est intéressant de noter que si des analyses extérieures, comme celles d'ENISA, mettent en lumière les risques liés aux dépendances tierces, OpenSSF se concentre ici sur la mise en œuvre technique et politique au sein du code lui-même. La question demeure : comment transformer ces enseignements techniques, comme les méthodes de détection des projets open source abandonnés partagées par Felix Lange (SAP), en une pratique quotidienne pour tous les contributeurs ? On doit surveiller comment les entreprises vont intégrer l'exigence de provenance IA dans leurs pratiques de développement, sachant que les discussions ont déjà couvert des sujets aussi pointus que l'autonomie des agents IA et leur interaction avec le noyau du système. ## Sources - [OpenSSF Community Day Europe 2026: Driving Systemic Security and Operational Resilience in Open Source](https://openssf.org/blog/2026/11/06/openssf-community-day-europe-2026-driving-systemic-security-and-operational-resilience-in-open-source/), OpenSSF, 6 novembre 2026 - [Sarajevo Cyber Security Summit 2026 puts the Western Balkans’ cyber resilience in focus](https://www.helpnetsecurity.com/2026/11/06/sarajevo-cyber-security-summit-2026/), Help Net Security, 6 novembre 2026