Les contributions réussies aux projets open source sont une sorte de monnaie. Git Hub l'encourage particulièrement de plusieurs manières : en affichant les avatars des contributeurs sur les pages des dépôts, en montrant vos contributions à vos abonnés via le fil d'activité et en signalant les contributions par jour sur le graphique d'activité de votre profil. Les responsables du recrutement potentiels y prêtent souvent attention.

Les recruteurs trouvent et筛选 souvent les candidats de cette manière. Si vous êtes un développeur de logiciels (existant ou aspirant) à la recherche d'un emploi, ajuster ces signaux peut souvent jouer en votre faveur. En tant que mainteneur open source, il est assez remarquable de voir comment le modèle de contributions externes a changé au cours de l'année dernière.

Nous sommes bien plus susceptibles de recevoir des pull requests au lieu d'issues. Si nous recevons des issues, elles sont souvent accompagnées d'une analyse générée par l'IA. Nous recevons beaucoup plus de rapports de vulnérabilités de sécurité que jamais auparavant et ils sont souvent même accompagnés de propositions de correction générées par l'IA.

Je ne doute pas que certaines de ces contributions proviennent de personnes véritablement intéressées par ce que nous faisons, mais ma part cynique pense qu'une partie substantielle de cela vient du fait que les gens réalisent que l'IA peut être utilisée pour manipuler Git Hub à leur propre avantage. Il est désormais facile de demander à Claude de générer une liste de projets open source intéressants, puis de demander à Claude de trouver des problèmes dans ceux-ci, et ensuite de demander à Claude de soulever quelques PRs pour les corriger. Vous n'avez même pas besoin d'utiliser les projets ou de vous en soucier, mais vous pouvez facilement créer l'illusion aux yeux des étrangers que vous vous en souciez, ou que vous avez trouvé un problème, ou que vous avez pris le temps de le corriger.

Sur Internet, personne ne sait que vous êtes un chien, mais avec l'aide des LLMs, vous pouvez sans effort exagérer vos capacités humaines sur votre profil Git Hub. Récemment, un contributeur avec pratiquement aucune contribution sur l'ensemble de Git Hub de fin 2018 jusqu'à il y a quelques semaines, sans engagement préalable avec notre projet à notre connaissance, a soulevé trois PRs distincts pour corriger des fautes d'orthographe et de grammaire dans les commentaires. Claude a fait les corrections, a vraisemblablement écrit les descriptions des PRs, a même signé les commits au nom de l'utilisateur, puis a gentiment inséré sa co-écriture dans les trailers des messages de commit.

Peut-être même qu'il a ouvert les PRs lui-même, qui sait. Je serais fasciné de savoir si l'invite était « va trouver des problèmes » ou si elle se concentrait sur des problèmes d'orthographe et de grammaire en particulier pour une raison quelconque. Les modifications étaient inoffensives et correctes, mais cela ne m'a pas fait sentir mieux à l'idée de les accepter ou de les fusionner.

Au lieu de cela, je n'ai pas pu m'empêcher de me demander : pourquoi cela, pourquoi maintenant ? Pourquoi, parmi toutes les issues, les TODOs et les FIXMEs dans notre base de code, soumettent-ils cela ? Et puis j'ai réalisé que ces contributions n'avaient rien à voir avec notre projet. J'ai fermé les trois PRs sans commentaire. C'était peut-être déraisonnable, mais honnêtement, je ne suis tout simplement pas intéressé à encourager les gens à prendre notre temps avec ce genre de besogne.

Je ne veux pas créer de précédent en acceptant des PRs qui n'améliorent rien de manière substantielle, et je ne veux pas que notre liste de contributeurs devienne une récompense pour avoir demandé à un robot de corriger des fautes de frappe. Le même schéma est apparu avec les rapports de vulnérabilités de sécurité. Les CVEs sont traditionnellement crédités à leurs rapporteurs, mais tous les rapports que nous avons reçus récemment ont été manifestement générés par l'IA.

Les correctifs de sécurité sont toujours importants bien sûr, mais là encore je me demande si cela se produit parce que les gens se soucient des correctifs ou parce qu'ils cherchent un crédit facile. Nous avons été beaucoup plus sélectifs ces derniers temps lors de l'évaluation de la gravité de ces rapports et, dans certains cas, nous avons refusé d'émettre des avis CVE pour les éléments de faible gravité. J'ai des sentiments sur le fait que la divulgation privée est en train de mourir de toute façon, sujet sur lequel je pourrais écrire une autre fois, mais l'effort impliqué dans la coordination des correctifs privés, des avis de divulgation et des versions est suffisamment substantiel pour nous obliger à être sélectifs.

En fin de compte, l'open source repose sur la confiance.