Le dépôt de recettes communautaire d’Archlinux, AUR a subi deux attaques automatisées. Une première dont j’avais parlé en juin 2026, et une autre en juillet qui rajoutait des insultes aux charges malicieuses. Cela avait entraîné un gel de l’envoi de modifications pour éviter qu’un paquet fraîchement adopté ne soit vérolé.
Finalement, des mesures plutôt restrictives et nécessaires ont été prises. Selon le message posté le 11 août 2026 sur la liste de publication aur-general :
1) Les créations de nouveaux comptes sont encore bloqués.
2) Toute adoption de paquets ne sera plus automatique et demandera une vérification manuelle. Je cite :
Package adoption now requires review. Adopting an orphan, whether from
the web interface or via `ssh aur@aur.archlinux.org adopt `, files an adoption request rather than transferring maintainership immediately. A Package Maintainer must grant it. Only one request can be
pending per package base, and requests nobody acts on are rejected automatically after 14 days.
Ce qui donne traduit :
L’adoption d’un paquet doit désormais faire l’objet d’un examen. L’adoption d’un paquet orphelin, que ce soit depuis l’interface web ou via la commande `ssh aur@aur.archlinux.org adopt `, déclenche une demande d’adoption plutôt qu’un transfert immédiat de la responsabilité de maintenance. Un responsable de paquet doit donner son accord. Une seule demande peut être en attente par base de paquets, et les demandes pour lesquelles personne ne réagit sont rejetées
automatiquement au bout de 14 jours.
En gros, ce sont les anciens « trusted users » qui prendront en charge cette vérification. Autant dire que c’est la meilleure réponse à apporter aux adoptions automatisées de paquets. Il est certains que certains emmerdeurs vont multiplier les demandes d’adoption pour gripper la machine. Mais c’est de bonne guerre pour conserver un AUR sain et ne contenant que peu ou pas de recettes vérolées.
On verra à l’usage, mais c’est un pas dans la bonne direction. Et c’est peu que de le dire.