Qwen Code : 0,8 % des lignes « Google » sont bien de Google

Un audit byte-à-byte du dépôt Qwen Code révèle un écart important entre l’étiquetage « Copyright Google LLC » et la réalité du code. Sur 1 110 fichiers affichant cet en-tête, seuls 58 correspondent exactement à des blobs Google, soit 5,2 %, et 0,8 % des lignes sous en-tête « Google » proviennent effectivement de Google. La méthode s’appuie sur l’historique de Google Gemini CLI, pondère les résultats par lignes et inclut une vérification inverse.

Très peu de recoupements malgré 1 110 en-têtes « Google »

Sur 1 110 fichiers de Qwen Code portant l’en-tête « Copyright Google LLC », seuls 58 restent identiques au byte près à des fichiers présents dans la période étudiée côté Google, soit 5,2 %. Lorsqu’on pondère par le nombre de lignes, seulement 0,8 % des lignes situées sous ces en-têtes correspondent effectivement à des octets issus de Google. Par ailleurs, les fichiers du connecteur « mem0 » ne sont retrouvés nulle part en amont, bien qu’ils portent l’étiquetage « Google ».

Vérification par blobs git et contrôle inverse

L’audit a commencé par organiser les en-têtes de chaque fichier TypeScript, puis a examiné si les séquences d’octets de ces fichiers étaient présentes dans l’historique des commits de Google Gemini CLI, en utilisant les blobs git. Cette approche visait à limiter les erreurs liées aux changements intervenus après un fork ainsi qu’aux modifications de noms ou d’emplacements. La classification des cas distinguait les copies strictement identiques au niveau des octets, celles modifiées mais conservant le même emplacement, celles déplacées ou altérées, et celles jamais présentes en amont. Les résultats ont été pondérés par le nombre de lignes, et une vérification inverse a permis de s’assurer qu’aucun code Google ne se cachait sous des en-têtes Qwen.

Contexte et portée : des en-têtes traités comme du boilerplate

Qwen Code a cessé d’utiliser Google il y a 10 mois. L’audit conclut que les en-têtes de copyright servent surtout de boilerplate persistant, sans garantir la provenance réelle du code. Les outils et processus de revue imposent la présence de ce bloc, mais n’en assurent ni la mise à jour ni la vérification par rapport à l’auteur réel. Il est donc recommandé de procéder à des vérifications au niveau des octets sur tout code dérivé avant de se fier à l’attribution portée par les en-têtes.