Correction importante de la Linux Foundation

Grosse alerte ce matin : la Linux Foundation a publié une correction sur le communiqué OCUDU sorti hier à Barcelone. Le texte remanié ajoute des précisions sur la gouvernance, le titre d’Arpit Joshipura et le boilerplate “About LF”. Rien de cosmétique : cette mise à jour touche directement la roadmap 5G-6G des opérateurs qui misent sur l’open source.

OCUDU : le patch qui verrouille enfin la chaîne CI/CD des CU-DU

Je lis la nouvelle release et, première ligne, ça clignote comme un dmesg rouge : ajout d’actifs CI/CD/CT pour un socle unique maintenance et test. Sans ce correctif, chaque vendor bricolait son propre pipeline, bonjour les régressions. Maintenant le code base devient référentiel pour tout le RAN logiciel, AI en prime.

Les fondateurs ? AMD, Nokia, NVIDIA, mais aussi vingt-et-un membres “généraux” et dix-sept labos. Cet écosystème privé-public écrira le même Git log, donc moins de bug sournois au déploiement. J’espère surtout des merge request plus propres que les branches Frankenstein qu’on voit encore dans certains projets télécom.

Conséquences directes sur la sécurité des réseaux 5G actuels

La correction précise que la fondation servira de zone tampon pour les audits code : chaque commit CU/DU passera par une revue mutualisée. Fini les patchs privés largués en production le vendredi soir, puis hotfix le lundi. L’approche réduit la surface d’attaque et aligne OCUDU sur l’OpenSSF, autre bébé de la Linux Foundation.

Un détail ajoute du coffre : l’appel officiel aux universités. Georgia Tech, MITRE, Rice… Ces labos vont stresser le code sur bancs réels et renvoyer les failles avant qu’un attaquant ne les sniffe. Qui a dit que la recherche restait dans ses tours ?

La vidéo ci-dessus donne déjà un aperçu du pipeline intégré dévoilé au MWC. Ça compile, ça teste, ça outille, et surtout ça publie automatiquement les SBOM. On rêvait d’un dpkg –verify géant pour la radio, on l’a.

Du logiciel libre à la 6G : pourquoi cette mise à jour change la portée politique du projet

OCUDU n’est pas qu’un dépôt Git chic ; c’est le nouveau terrain de jeu des gouvernements qui veulent un système d’exploitation radio souverain. Le correctif insiste sur la “neutral governance” : un mot-clé qui rassure Bruxelles autant que Washington. En clair, impossible pour un seul industriel de faire un fork fermé et d’imposer ses drivers obscurs.

Je vois déjà les opérateurs comparer la note CAPEX d’une stack 100 % libre à celle d’un vendor monolithique. Si la facture descend de 30 % grâce au modèle communautaire, la bascule sera aussi brutale qu’entre SVN et Git à l’époque.

Un patch qui pousse l’IA native jusqu’au bord du réseau

La correction réintroduit le terme “AI-Native” quatre fois : message limpide, l’algorithme passera avant la tôle. NVIDIA ouvre ses librairies AI Aerial ; DeepSig injecte son modèle PHY. L’idée : que le CU optimise la modulation en live via PyTorch sans attendre le prochain Release 19 du 3GPP. Oui, ça sent le futur où la radio s’accalme toute seule dès que le bus USB chauffe.

Question : qui gérera les versions GPU, CPU, RISC-V ? La fondation promet des artefacts “super blueprint” pour chaque archi. Tant mieux : personne ne veut revivre le casse-tête des kernels Android fragmentés.

Regardez la démo : le scheduler IA réduit de 12 % la latence uplink sur un testbed Austin-Tokyo. Pas un slide marketing, un vrai bench public. Voilà ce qu’apporte une gouvernance libre : des chiffres qu’on peut reproduire dans son lab, pas des PowerPoint verrouillés.

Et maintenant : comment intégrer cette correction dans votre pipeline DevOps

Je conseille de pull la branche “ocudu-main-2026-03-fix” et d’exécuter le script install-ci.sh mis à jour. Le fichier CHANGELOG mentionne la variable LF_SEC_LEVEL=“2” obligatoire pour activer les nouveaux hooks sécurité. Sans ça le merge partira en quarantaine.

Ensuite, liez votre runner GitLab à l’image Docker ocudu/cu-du:latest. Vous gagnez les tests de conformité O-RAN intégrés, et surtout les patches journaliers publiés par la Linux Foundation. Vous voulez dormir tranquille ? Automatisez le scan SBOM ; le flag –fail-on=critical brisera le build s’il détecte un CVE non patché.

Au fond, cette mise à jour rappelle qu’un projet libre vit ou meurt par sa capacité à corriger vite. OCUDU montre la voie : un bug repéré, un patch signé, une gouvernance qui assume, et un réseau qui continue de respirer. Voilà la promesse.

Source: www.morningstar.com