Je suis d’accord à 95 % avec cela. Et maintenant, on parle de Discourse ; imaginez si nous étions dans l’univers de WordPress !
(Les 5 % manquants : je ne pense pas que ce soit « le Far West » — les problèmes de sécurité sont signalés via meta aux développeurs tiers et, en général, ils sont corrigés assez rapidement).
Mais en même temps, mon expérience m’a montré que les LLM (de nos jours) génèrent un code plus sécurisé que l’auteur de plugin humain moyen. Et on peut soumettre un plugin à n’importe quel LLM décent et lui demander de « trouver et corriger les problèmes de sécurité », et il le fera, même si l’humain ne dispose pas de grandes connaissances en matière de sécurité.
Je passe en revue manuellement des plugins depuis une décennie et j’en ai vu des tas : des injections SQL (par des personnes qui trouvaient ActiveRecord trop sophistiqué), des réglages de clés API avec client: true, une absence totale d’autorisation et de contrôles d’accès, un manque de limitation de débit. Tous ces problèmes sont détectés et corrigés par les LLM en un temps record et sans trop d’effort.
Donc encore une fois : je pense que les LLM ont rendu les choses meilleures, pas pires.
Tu associes toujours le code généré par les LLM à une « boîte de Pandore », c’est trop noir ou blanc.