Bambu Lab abuse du contrat social de l’open source
(jeffgeerling.com)- Jeff Geerling continue d’utiliser sa P1S après que Bambu Lab a commencé à imposer par défaut un cloud toujours connecté, en bloquant l’accès Internet de l’imprimante et en passant à OrcaSlicer
- OrcaSlicer est un fork dans la lignée AGPLv3 de Bambu Studio, Prusa Slicer et slic3r, et permet d’utiliser l’imprimante sans le cloud de Bambu
- Bambu Lab reproche au fork OrcaSlicer-bambulab de se faire passer pour un client officiel et a menacé son développeur de poursuites
- Geerling affirme que ce fork n’a fait qu’utiliser le même code AGPL que l’application Linux de Bambu, et critique l’idée de traiter le user agent comme un élément central de sécurité
- Comme un fork de Bambu Lab a déjà envoyé par le passé de la télémétrie vers les serveurs de Prusa, la situation est ironique lorsque l’entreprise critique aujourd’hui la manière dont d’autres forks s’identifient
Reprendre le contrôle pour continuer à utiliser une imprimante Bambu Lab
- Jeff Geerling continue d’utiliser sa P1S même après que Bambu Lab a commencé à pousser comme nouveau réglage par défaut une solution cloud toujours connectée
- Pour garder l’imprimante sous son contrôle, il a bloqué son accès à Internet avec OPNsense Firewall, cessé les mises à jour du firmware, l’a figée en Developer mode, supprimé Bambu Studio puis adopté OrcaSlicer
- Si Bambu Lab avait simplement laissé les utilisateurs conserver leur mode d’usage existant, le conflit n’aurait peut-être pas pris autant d’ampleur, mais la suite s’est transformée en débat sur l’écosystème open source et le contrôle des utilisateurs
La filiation open source d’OrcaSlicer et de Bambu Studio
- OrcaSlicer est un fork du projet open source Bambu Studio, lui-même un fork de Prusa Slicer, qui est à son tour un fork de slic3r
- Tous ces projets utilisent la licence open source AGPLv3
- OrcaSlicer se trouve à l’endroit où il faut contourner ou gérer l’architecture dans laquelle les fichiers d’impression transitent par les serveurs de Bambu dans la configuration par défaut de Bambu
- En utilisant le Developer mode et un ancien firmware avec l’accès Internet entièrement bloqué, il est possible d’utiliser l’imprimante sans passer par le cloud de Bambu
- Certains utilisateurs acceptent la commodité de l’impression via le cloud, qui permet de lancer une impression à domicile depuis l’extérieur, mais il est possible d’obtenir le même accès distant sans le cloud de Bambu en gérant son propre VPN WireGuard
Le conflit autour du fork OrcaSlicer-bambulab
- Bambu Lab a pris pour cible le fork OrcaSlicer-bambulab, qui permettait d’utiliser les fonctions de l’imprimante sans le mécanisme de relais du cloud de Bambu
- Ce fork visait, de la même manière que le code Linux sous licence AGPL de Bambu Studio, une petite minorité d’utilisateurs avancés souhaitant utiliser OrcaSlicer sans le mécanisme de relais cloud
- Bambu Lab a menacé le développeur du fork de poursuites et a présenté la situation comme une attaque par usurpation, bien que le fork utilise du code upstream de Bambu Studio
- D’après la réponse du développeur d’OrcaSlicer-bambulab, Bambu Lab ne lui a pas d’abord communiqué d’éléments concrets avant ses déclarations publiques et a aussi refusé la demande de publier l’intégralité de la lettre
- Le développeur rejette le fait d’être publiquement présenté comme quelqu’un qui aurait créé un contournement de sécurité, une usurpation de client ou un risque pour l’infrastructure
La position publique de Bambu Lab et les critiques
- Dans un billet de blog officiel, Bambu Lab affirme que la modification en cause injectait dans les communications réseau de fausses métadonnées d’identité afin de communiquer avec le serveur comme s’il s’agissait du client officiel Bambu Studio
- Bambu Lab indique que si cette méthode était largement adoptée ou mal configurée, des milliers de clients pourraient se faire passer simultanément pour le client officiel et frapper les serveurs en même temps, et que le système ne pourrait pas distinguer le trafic puisque les requêtes paraîtraient identiques
- Geerling rétorque que cette affirmation présente le développeur comme quelqu’un ayant cherché à se faire passer pour une application Bambu, alors qu’il n’a en réalité utilisé que le même code sous licence AGPL que l’application Linux de Bambu
- Si une chaîne de user agent publique constitue réellement une protection centrale contre les DDoS, cela jette un doute sur la compréhension qu’a Bambu Lab de la sécurité
- Dans le reste de son billet, Bambu Lab parle de vulnérabilités, de bugs et d’instabilité, mais il est difficile de relier directement ces points au cas du développeur d’un fork qui a repris tel quel le code upstream
Une manière récurrente de répondre à la communauté
- Lors de précédentes tensions l’an passé, Bambu Lab avait déjà attribué la réaction de la communauté à une « malheureuse désinformation » dans un billet sur Bambu Connect et les intégrations tierces
- À l’époque, les utilisateurs pouvaient légitimement être frustrés de voir, après leur achat, l’écosystème logiciel et le modèle de possession être bouleversés, ce qui a nourri spéculations et colère
- Cette fois, Bambu Lab fait porter à un développeur d’un petit fork de slicer une responsabilité liée à un impact potentiel sur l’ensemble de l’infrastructure cloud
- Geerling critique le fait que, au lieu de résoudre les problèmes de l’écosystème et de construire une plateforme plus sûre, Bambu Lab mette publiquement sous pression des utilisateurs avancés passionnés comme le développeur de ce fork
Ironie et précédent
- Un fork de Bambu Lab lui-même a provoqué en 2022 l’envoi de la télémétrie des utilisateurs Bambu vers les serveurs de Prusa, comme l’a signalé Josef Prusa sur X
- À la connaissance de Geerling, Prusa n’a pas répondu à l’époque par une mise en demeure (C&D)
- Cet épisode rend encore plus ironique la virulence avec laquelle Bambu Lab critique aujourd’hui la manière dont d’autres développeurs de forks s’identifient sur le réseau et les risques supposés pour l’infrastructure
Une meilleure réponse possible et les options restantes
- Bambu Lab aurait pu, dès le départ, choisir une approche qui ne verrouille pas tout l’écosystème
- Le fork en question ne semble pas avoir été beaucoup utilisé au-delà d’un tout petit groupe d’utilisateurs avant la mise en demeure de Bambu Lab
- Cela dit, le fait que le nom du fork contienne « bambulabs » laissait une marge raisonnable pour demander sa suppression au titre du droit des marques
- Le développeur du fork avait déjà aidé des utilisateurs de Bambu Studio sur des problèmes Linux et Wayland, y compris sur le GitHub de Bambu Lab, et il se retrouve maintenant publiquement dépeint comme un risque pour l’infrastructure de Bambu
- Louis Rossmann a publié une vidéo promettant 10 000 $ pour aider les développeurs open source à faire face aux menaces juridiques de Bambu, mais cela n’est utile que si le développeur souhaite redevenir une cible de Bambu
- Geerling estime qu’il peut être plus efficace de passer totalement son tour sur les produits Bambu et de dépenser un peu plus pour une imprimante d’une autre marque
1 commentaires
Avis de Hacker News
J’ai déjà utilisé des Bambu, mais je n’en ai jamais possédé, et l’idée d’une imprimante 3D à écosystème fermé ne m’a jamais plu.
Si on cherche une alternative, Bambu reste ce qui se rapproche le plus d’une expérience « ça marche, point », mais aujourd’hui les autres imprimantes ne sont plus aussi difficiles qu’avant.
L’alternative la plus simple est probablement Prusa ; c’est bien plus cher que Bambu, mais c’est aussi une excellente entreprise presque à l’opposé total sur l’ouverture, donc si l’argent n’est pas un problème, je recommande.
Sinon, la liste sur https://auroratechchannel.com/#section2 est pas mal.
Personnellement, j’utilise une vieille Elegoo Neptune 4 Pro, mais si j’achetais aujourd’hui, je regarderais plutôt du côté de la Snapmaker U1 ou de la Creality K2 Plus.
C’est cher, mais on a un support humain 24 h/24, une plateforme ouverte, des contributions open source, et Bambu Studio est aussi un fork de PrusaSlicer.
Ma Core One+ a commencé comme une MK3, puis a reçu des upgrades en continu, et elle fonctionne encore comme au premier jour ; j’attends maintenant l’upgrade INDX.
Le gros défaut des Prusa grand public, c’est toutefois le manque de chauffage de chambre pour les matériaux avancés. En été, je peux imprimer du PC avec une chambre à 45 °C sur la Core One+, mais en hiver c’est bien plus compliqué.
La Core One L serait meilleure sur ce point, mais j’ai aussi vu des retours disant que ce n’est pas encore idéal ; à part ça, j’ai l’impression que le surcoût est amorti sur le long terme.
Depuis 2023, l’entreprise a montré des signes visant à empêcher la commercialisation de ses designs, et elle a aussi cessé de partager les sources PCB et les documents de conception.
En 2025, elle a modifié son « open community license » pour préciser qu’on ne peut pas vendre, sans accord séparé, des machines finies ou des remix basés sur ces fichiers, ni exploiter commercialement les fichiers de conception.
https://blog.prusa3d.com/core-one-cad-files-release-under-th...
C’est peut-être un exemple de la façon dont l’open source a dû évoluer face aux failles laissées par les licences open source traditionnelles, failles exploitées commercialement par des entreprises qui ne font pas elles-mêmes de R&D.
Pendant un temps, « ça marchait, point », mais les ennuis ont commencé quand le ventilateur de refroidissement d’impression est tombé en panne. Sur ma Voron à la maison, c’est une réparation de 5 minutes ; sur la H2D, il faut faire comme [0].
En pratique, il faut démonter quasiment toute la tête d’outil, retirer la carte mère interne, et manipuler plus de 11 câbles ruban personnalisés, minuscules et fragiles, ainsi que 5 connexions vers la carte du haut.
Même les petites réparations sont souvent de cet ordre, et quand le filament s’est coincé, j’ai dû démonter toute la face avant de la tête d’outil et manipuler un flex PCB encore plus petit et fragile.
[0] https://wiki.bambulab.com/en/h2/maintenance/replace-cooling-...
J’ai acheté une Prusa Core One sans absolument rien connaître à l’impression 3D ; j’ai branché l’alimentation, mis le filament fourni, cliqué quelques fois en suivant le manuel de 10 pages, et j’ai lancé ma première impression.
Aucun besoin d’Internet, de Wi‑Fi, d’inscription ou d’application.
Ensuite, j’ai installé l’application open source disponible sur GitHub et commencé à utiliser le service « cloud » ; même si je ne suis pas très à l’aise avec ce genre de choses, ça a été l’une des choses les plus simples que j’ai faites depuis 10 ans.
C’est très cher, mais au moins j’ai vraiment l’impression de posséder l’objet.
Prusa a pas mal changé ses standards éthiques en « grandissant ».
[0]: https://blog.prusa3d.com/the-state-of-open-source-in-3d-prin...
La formulation du billet de blog de Bambu Lab est assez ahurissante.
Dire en substance que « la hausse du trafic non autorisé a surchargé les serveurs, provoqué des interruptions de service pour tout le monde, et que le coût a été l’instabilité ressentie par tous les utilisateurs », ça revient à dire qu’ils ne savent pas faire évoluer leur infrastructure alors ils vont tout bloquer via la chaîne User-Agent.
C’est une excuse tellement bizarre qu’elle est difficile à croire.
Voilà comment il faudrait l’écrire. Bambu peut l’utiliser sous Creative Commons.
Ce qui est drôle, c’est à quelle vitesse les gens oublient. Le mode LAN n’était pas prévu au départ ; il n’a été ajouté qu’après une levée de boucliers similaire la dernière fois.
Ensuite, ils ont changé de direction et même modifié leur billet de blog. En tant que clients, faire pression change la trajectoire de l’entreprise.
HP utilise toujours de l’encre sous DRM, Keurig essaie toujours d’empêcher le « hacking », et OpenAI avait promis de publier ses modèles en open source.
Ça ne veut pas dire qu’il ne faut pas critiquer les entreprises qui ne tiennent pas leurs promesses, mais la colère seule ne suffit pas. Si la licence a vraiment été violée, un procès — ou la perspective d’un procès — peut aussi être efficace.
Le plus frustrant, c’est qu’on ne peut plus interagir avec l’imprimante via OrcaSlicer, synchroniser le filament et lancer des impressions à distance.
Certaines personnes ont leur imprimante dans un atelier distant plutôt qu’à côté d’elles ; dans ce cas, les options « LAN » ou « développeur » ne sont pas très satisfaisantes, surtout si elles imposent de renoncer au cloud.
Dire qu’ils « se faisaient passer pour le client officiel » n’a aucune logique de sécurité si, en pratique, il s’agissait de métadonnées envoyées par le client.
Ce n’est pas de l’usurpation ; c’est juste Bambu qui découvre que le User-Agent n’est pas une forme d’authentification.
Rejeter la faute sur le client n’a absolument aucun sens.
Si un attaquant veut s’en prendre à l’infrastructure, il se moque totalement d’utiliser ou non le client préféré de Bambu.
Une fois de plus, Bambu est en train d’aliéner sa propre clientèle.
Je ne connais pas tous les détails sur le fait que le logiciel de Bambu passe par des serveurs chinois et devienne plus fermé, mais je soupçonne un lien possible avec la surveillance en contexte de guerre.
Les imprimantes Bambu seraient essentielles à l’effort de guerre ukrainien, et même, selon moi, l’une des raisons principales pour lesquelles l’Ukraine gagne après janvier 2026.
La Chine a déjà empêché l’usage de drones chinois par l’Ukraine en activant des kill switches intégrés, contrairement aux millions de drones vendus à la Russie auparavant ; si ensuite une autre entreprise chinoise, Bambu, s’était mise à regarder discrètement à grande échelle la production 3D servant au remplacement de drones dans des usines secrètes à travers l’Ukraine, ce serait extrêmement suspect.
Quelle qu’en soit la raison, le moment est venu pour les programmeurs de changer la donne ; au lieu de financer une bataille judiciaire à la manière de Louis Rossmann [1], il faudrait financer des programmeurs assembleur pour rétroconcevoir le firmware Bambu et créer un firmware libre et open source.
Ce remplacement de firmware prendrait quelques mois, mais si tout le monde mettait un peu d’argent pour qu’il soit publié gratuitement, alors l’Ukraine pourrait continuer à produire des millions de drones, mettre fin à la guerre et sauver plus de 100 000 vies.
[1] https://www.youtube.com/watch?v=qLLVn6XT7v0
Je serais moi-même prêt à faire cette rétro-ingénierie, mais pour créer de zéro un nouveau firmware pour tous les modèles Bambu, il me faudrait au minimum 35 euros par jour pour vivre et pouvoir emprunter plusieurs modèles pour les tests pendant quelques semaines. J’estime entre 5 et 9 mois le temps nécessaire pour reconstruire et publier le firmware de toute la gamme à partir de zéro, et je me demande si Rossmann et Geerling pourraient utiliser leur influence pour coordonner cela.
J’ai envoyé un e-mail à Rosmann et Geering pour voir s’il serait possible de libérer ensemble le firmware Bambu ; toute personne souhaitant aider peut me contacter via mon profil HN.
Je ne connais pas les imprimantes les plus récentes, mais les Bambu utilisées à cette époque pouvaient facilement être basculées en mode LAN uniquement.
Elles peuvent aussi être totalement isolées du réseau et utilisées via carte SD.
On peut activer l’accès root dans l’application et installer un mode firmware, et il existe déjà plusieurs tentatives de rétro-ingénierie du firmware.
Ça complique un peu la gestion à grande échelle, mais sauf mise à jour importante que j’aurais ratée, j’ai du mal à croire qu’un accès Internet soit réellement nécessaire.
Je soutiens l’open source, mais j’ai quand même acheté une Bambu P1S il y a quelques mois.
Après m’être renseigné, j’avais compris qu’il y avait moyen de l’utiliser normalement sans créer de compte Bambu, sans utiliser le slicer Bambu, et sans envoyer toutes mes impressions aux serveurs Bambu.
Je n’ai plus mes notes exactes, mais dans mon souvenir j’ai configuré ça avec très peu de problèmes ; il suffisait simplement de modifier un réglage sur l’imprimante. Bloquer l’accès Internet au niveau du pare-feu pour empêcher les mises à jour automatiques du firmware et la télémétrie était facultatif.
J’ai toujours utilisé uniquement OrcaSlicer pour ajuster les modèles, modifier les paramètres et envoyer les impressions.
Que Bambu s’en prenne de manière agressive à un fork open source légitime de son propre slicer est clairement problématique, mais je ne comprends pas très bien quel est exactement le problème actuel. Les imprimantes sont-elles plus verrouillées qu’avant, ou cela ne concerne-t-il que certains modèles ?
Pour nous c’est simple, mais pour la plupart des utilisateurs, rien que cette partie est déjà trop compliqué.
J’ai aussi une P1S, et Bambu me semble être une entreprise étrange. Elle a énormément profité du logiciel open source, tout en en violant parfois à la fois l’esprit et la licence.
Ils ont conçu le système pour que les impressions passent par un intermédiaire alors qu’on pourrait envoyer directement à l’appareil sur un réseau simple ; c’est un peu comme si une imprimante laser passait par le cloud au lieu d’aller directement vers le périphérique.
Vu le peu de chiffrement ou de protection des données de conception, ça semble délibéré. Quand on regarde l’historique de beaucoup d’entreprises chinoises vis-à-vis de la propriété intellectuelle, on en vient à supposer que le vol de designs est peut-être un objectif principal.
Si on combine ce mauvais historique sur l’open source, une approche douteuse de la vie privée et de la protection de la propriété intellectuelle, et une attitude juridique agressive, j’ai beaucoup de mal à faire confiance à cette organisation.
Heureusement, mes designs relèvent plutôt du niveau « regardez ce déchet », donc je ne suis pas inquiet, mais je ne l’utiliserais jamais pour un travail important.
Je ne veux pas qu’un slicer open source envoie mes impressions au service cloud de Bambu, parce que je ne veux pas de service cloud du tout.
La valeur de pouvoir vérifier ou lancer une impression depuis mon téléphone est proche de zéro ; il me suffit d’envoyer depuis mon ordinateur du bureau et de jeter un œil de temps en temps pendant l’impression depuis ce même ordinateur.
Jusqu’ici, ça fonctionne, mais ce qui m’inquiète, c’est que les intérêts de Bambu vont clairement dans une autre direction : attirer un maximum d’usages à l’intérieur de son écosystème.
Il s’agit de contrôler la partie modèles via MakerWorld et de faire passer tous les flux par le cloud.
Même sans supposer de mauvaise foi, il existe des incitations financières et d’expérience utilisateur très claires, comparables à celles d’Apple.
Mais comme c’est une entreprise chinoise, et dans un contexte où les législateurs occidentaux cherchent à contrôler strictement l’usage des machines, je ne pense pas qu’il soit déraisonnable de ne pas vouloir aller vers ce monde-là.
Dans un monde tout-cloud, il est bien plus facile de mettre en place du DRM, de la protection du copyright et des restrictions d’impression que dans un monde où un logiciel open source envoie du G-code à une imprimante locale.
Je n’ai ni besoin ni intention de remplacer la machine immédiatement, mais la prochaine ne sera probablement pas une Bambu. Bambu n’est plus la seule entreprise à fabriquer des machines-outils productives qu’on peut utiliser sans faire de l’impression 3D un hobby en soi.
Forker le logiciel pour l’utiliser avec sa propre imprimante semble acceptable, mais ils ne veulent pas que cela se fasse en s’appuyant aussi sur le service cloud Bambu, qui obéit à ses propres conditions d’accès.
Qu’ils choisissent de se battre là-dessus est étrange, mais la position n’est pas complètement irrationnelle. Le cloud, c’est l’ordinateur de quelqu’un d’autre, et cette personne peut fixer des règles sur ce qu’on a le droit d’y faire.
Le fait que le client soit open source ne crée pas pour autant un droit d’usage du serveur.
Si on passe tout en local via le mode développeur, ou qu’on utilise son propre VPN comme l’auteur du billet, la différence sera probablement minime.
Après une mise à jour du firmware à un moment donné en 2025, il a fallu choisir entre cloud et local.
Si on active le mode local, on peut utiliser un slicer personnalisé, mais l’impression via le cloud et la supervision à distance sont désactivées.
Les gens voulaient les deux, et voulaient aussi plus d’ouverture, d’où la réaction.
Le fork le plus récent permet à un nouveau slicer personnalisé précis d’usurper le User-Agent pour soumettre des impressions au cloud Bambu, recréant ainsi l’expérience d’avant 2025.
Bambu a attaqué ce nouveau fork en justice, tandis que l’usage local d’OrcaSlicer en lui-même reste toléré.
Aujourd’hui, si vous avez besoin d’impression à distance mais ne voulez pas envoyer vos modèles à Bambu Cloud, vous pouvez encore l’éviter en activant le mode LAN uniquement et le mode développeur.
Mais que se passe-t-il si un nouveau firmware force la création d’un compte en ligne et la connexion à Bambu Cloud dès la configuration initiale ? Et s’il limite les fonctions disponibles quand on imprime via carte SD ?
C’est une évolution assez inquiétante, et désormais l’entreprise menace juridiquement des développeurs open source qui essaient de rendre possible l’impression à distance sans passer par les serveurs Bambu, en s’appuyant pourtant sur le code AGPL de Bambu.
Pour jouer l’avocat du diable : quelle serait la motivation de Bambu Lab à fournir un service cloud gratuit à vie alors qu’ils ne touchent qu’un revenu ponctuel à l’achat ?
Ils pourraient imposer un abonnement, mais cela susciterait probablement un fort rejet chez les utilisateurs légers.
Ils peuvent aussi chercher à monétiser via la publicité, la vente croisée ou la montée en gamme, et les clients tiers deviennent alors un risque.
Je ne vois pas très bien au nom de quoi la communauté open source pourrait exiger de Bambu un service gratuit.
Louis Rossmann a publié une vidéo disant qu’il mettrait 10 000 dollars pour aider des développeurs open source à lutter contre les menaces juridiques de Bambu, et je serais aussi prêt à contribuer, mais cela n’a de sens que si des développeurs acceptent de redevenir une cible pour Bambu.
Rossmann a donc décidé de devenir lui-même la cible et a publié une vidéo pour provoquer Bambu : https://youtu.be/1jhRqgHxEP8?si=BwfoCKxujd0XwNJ0
Ce que je ne comprends pas, c’est en quoi la charge d’infrastructure serait différente entre quelqu’un qui utilise un build du slicer Bambu et quelqu’un qui utilise le même code dans un autre slicer ou un fork.
Au final, c’est la même personne qui fait les mêmes requêtes.
S’ils ne savent pas absorber la charge, alors la solution serait de gérer plus soigneusement la distribution des imprimantes. Vu le ton du billet de blog, si leur infrastructure ne supporte pas plus de trois personnes à la fois, alors il suffit de ne pas vendre plus de trois imprimantes simultanément dans le monde.
J’étais sur le point d’acheter une P2S, mais maintenant je ne le ferai pas.
Bambu Studio est littéralement un fork de PrusaSlicer. On ne peut pas s’appuyer sur une communauté, puis menacer cette même communauté.
D’un point de vue opérationnel, je ne suis pas forcément en désaccord avec Bambu, mais je ne peux pas approuver la manière dont ils ont géré cela.
Bambu fournit une infrastructure cloud permettant de piloter ses imprimantes à distance via son propre logiciel.
S’ils ne veulent pas que des logiciels non approuvés accèdent à leur cloud, ils auraient dû mettre en place une vraie authentification et l’annoncer clairement comme tel.
La question de savoir si les utilisateurs devraient pouvoir exploiter leur imprimante sans le logiciel officiel et sans passer par le cloud est un sujet séparé et plus complexe.
S’ils n’avaient pas choisi cette approche aussi conflictuelle, tout ce tumulte aurait pu être évité et ils n’auraient pas donné à leur base d’utilisateurs autant de munitions idéologiques.
Et j’ai l’impression que cela n’arrivera jamais.