GitHub a hébergé un quasi-clone d'une application haineuse qu'il avait déjà retirée une fois

Au milieu de l'année 2021, une application appelée « Sulli Deals » est apparue sur GitHub, utilisant du code pour afficher les photos de femmes musulmanes en Inde comme si elles étaient mises aux enchères fictives, sans leur consentement. Elle est restée en ligne pendant des semaines avant que GitHub ne la retire. Le 1er janvier 2022, une application quasi identique appelée « Bulli Bai » — reprenant le même schéma d'insulte, le même format d'enchères et ciblant bon nombre du même type de femmes au franc-parler, notamment des journalistes et des militantes — est réapparue, également hébergée sur les dépôts de code de GitHub.

GitHub a retiré la seconde application rapidement une fois qu'elle a attiré une attention massive sur les réseaux sociaux, mais les critiques ont souligné qu'une entreprise comptant 73 millions de développeurs et des politiques anti-harcèlement de longue date n'avait aucun mécanisme pour détecter un clone d'un code qu'elle avait déjà supprimé une fois. GitHub ne modère pas proactivement le code téléversé ; elle n'agit qu'une fois qu'elle reçoit une plainte, ce qui signifiait que la seconde application était en ligne et largement capturée en captures d'écran avant que quiconque dans l'entreprise ne la voie.

Des défenseurs des droits numériques en Inde ont déclaré que GitHub n'avait jamais publié de compte rendu de la manière dont elle avait géré le retrait de Sulli Deals ni de ce qu'elle avait changé par la suite, de sorte que rien n'était en place pour empêcher une version reconstruite de réapparaître sous un nouveau nom huit mois plus tard.

Une seconde vague de couverture médiatique mondiale et de réactions négatives des utilisateurs sur le marché de développeurs à la croissance la plus rapide de GitHub, sans aucune explication publique de la manière dont le même code avait été reconstruit et republié.

La modération de GitHub était fondée sur les plaintes plutôt que proactive, de sorte qu'un clone d'un code déjà supprimé pouvait être re-téléversé et rester en ligne jusqu'à ce qu'il devienne viral.

L'entreprise n'a fourni aucun compte rendu public du premier retrait, de sorte qu'il n'existait aucun signal documenté — interne ou externe — indiquant que le même schéma de code devait être surveillé.

Le code qui cible des personnes est difficile à distinguer automatiquement d'un code licite présentant une différence d'une ligne, ce que l'équipe politique de GitHub elle-même a reconnu comme rendant une correction technique globale difficile.

Les cibles étaient en grande partie des critiques virulentes de la gestion des minorités religieuses par le parti au pouvoir en Inde, ce qui signifiait que l'application fonctionnait comme un harcèlement visant à faire taire des femmes spécifiques, et non comme une farce isolée.

Retirer une violation sans moyen de signaler ses quasi-copies garantit une répétition — la modération doit cibler le schéma dans le code, et pas seulement l'instance unique.

GitHub a retiré Bulli Bai après les réactions négatives et a déclaré maintenir des politiques contre le harcèlement et la discrimination, mais n'a pas répondu aux questions spécifiques de Rest of World sur la manière dont la répétition s'est produite ou sur les changements de modération qui ont suivi. La police indienne a ouvert des enquêtes sur les créateurs de l'application. Aucun changement de politique publique de GitHub ni rapport de transparence sur le harcèlement fondé sur le code n'a suivi l'incident.