Jepsen révèle des failles critiques de sécurité et de stabilité dans ParticleDB 1.1.4

Le cabinet de tests indépendant Jepsen a publié un rapport complet sur ParticleDB version 1.1.4, mettant au jour des violations significatives des garanties de sécurité et des problèmes de stabilité dans le moteur de base de données. L'analyse, menée entre les versions 1.1.4 et 1.1.18.11.rc-22, souligne les écarts entre les affirmations marketing relatives à la vérification formelle et le comportement réel du système sous charge. Pour les ingénieurs évaluant l'infrastructure destinée aux agents IA ou aux applications à haut débit, ces conclusions soulèvent de sérieuses questions quant à la préparation de la plateforme pour une utilisation en production.

Ce qui s'est passé

ParticleDB, développé par Orkes pour soutenir leur plateforme d'orchestration de flux de travail Conductor, vise à unifier le SQL transactionnel, le stockage clé-valeur, la recherche vectorielle et l'analytique dans un seul moteur basé sur Rust. La société commercialise la base de données comme offrant une conformité ACID complète et des performances plusieurs ordres de grandeur supérieurs à PostgreSQL, avec un accent mis sur les charges de travail des agents IA. Pour valider ces affirmations avant une sortie plus large, Orkes a engagé Jepsen pour tester la base de code refactorisée, en commençant par la version 1.1.4. Les tests se sont concentrés sur le comportement en nœud unique, car les builds fournis ne prenaient pas en charge les fonctionnalités de cluster répliqué disponibles uniquement dans les déploiements cloud entreprise.

L'équipe Jepsen a identifié 96 problèmes distincts dans diverses catégories, y compris la disponibilité, les fonctionnalités cassées, la concurrence des transactions et la corruption de l'état. Bien que certains problèmes aient été résolus dans des candidats de release ultérieurs, le rapport détaille des anomalies sévères telles que des plantages spontanés sans messages d'erreur, des interblocages après seulement deux transactions concurrentes, et l'ignorance silencieuse des niveaux d'isolation des transactions. Le processus de test impliquait la simulation de plantages de processus, de corruption de disque et de pannes réseau pour mettre à l'épreuve les garanties de durabilité et de cohérence du système.

Un point majeur de discorde concernait la documentation entourant l'isolation et la durabilité des transactions. La page d'accueil de ParticleDB revendiquait une sécurité « Full ACID » et « formellement prouvée » via TLA+, mais aucune spécification TLA+ n'a été fournie durant la collaboration. De plus, la documentation relative aux modes de transaction tels que occ (Optimistic Concurrency Control) et groupsync (synchronisation WAL) contenait des informations contradictoires quant à savoir s'ils offraient une forte durabilité ou une isolation sérialisable. Dans de nombreux cas, la base de données ignorait silencieusement les commandes SQL standard pour définir les niveaux d'isolation, se reposant par défaut sur des indicateurs de démarrage mal expliqués dans la documentation publique.

Comment cela fonctionne

Jepsen teste les systèmes distribués en injectant des fautes et en observant si le système maintient ses modèles de cohérence déclarés. Pour ParticleDB, l'équipe a utilisé une combinaison de charges de travail SQL existantes et de nouveaux tests conçus spécifiquement pour les fonctionnalités uniques de la base de données. Ils ont employé le vérificateur Elle pour analyser les graphes de dépendance des transactions à la recherche de cycles, qui indiquent des violations de la sérialisabilité ou de l'isolation snapshot. Les tests ont été exécutés contre le client JDBC Postgres officiel et le SDK Java natif de ParticleDB, bien que ce dernier n'était initialement pas disponible comme dépendance Maven.

La suite de tests incluait des charges de travail effectuant des lectures et écritures aléatoires, des ajouts à des structures de liste, et des vérifications de cohérence interne au sein de transactions uniques. Une méthode notable était la charge de travail compare, qui générait des instructions SQL aléatoires et les exécutait à la fois contre ParticleDB et PostgreSQL. Si les résultats divergeaient, l'outil minimisait le cas de test pour reproduire le bug. Cette approche a révélé que ParticleDB échouait souvent à correspondre au comportement de PostgreSQL pour les requêtes de base, indiquant une implémentation incomplète ou buggée du protocole wire Postgres.

L'injection de fautes a joué un rôle clé dans la mise au jour des problèmes de durabilité. En utilisant LazyFS pour simuler la perte d'écritures non fsyncées et en tuant brutalement les processus, Jepsen a vérifié si le Write-Ahead Log (WAL) préservait correctement les données. Les tests couvraient trois modes de synchronisation WAL : sync, groupsync et nosync. Les écarts entre le comportement documenté de ces modes et leurs performances réelles ont conduit à plusieurs constats où des données pouvaient être perdues ou corrompues même lorsque les utilisateurs croyaient avoir choisi des paramètres sûrs.

Détails clés

• Jepsen a trouvé 96 problèmes dans ParticleDB, allant des goulots d'étranglement de performance aux violations critiques de la sécurité des données.
• La documentation revendiquait une sécurité « formellement prouvée » via TLA+, mais aucune spécification n'a été fournie pour vérifier cette affirmation.
• Les niveaux d'isolation des transactions définis via SQL étaient souvent ignorés silencieusement, le comportement étant gouverné par des indicateurs de démarrage opaques à la place.
• Des interblocages sévères se produisaient dans les versions jusqu'à 1.1.18.11.rc-6, gelant parfois le nœud après seulement deux transactions concurrentes.
• La prise en charge des fonctionnalités Postgres standard était incomplète, avec des échecs dans les instructions préparées, les agrégats dans les expressions CASE et les opérateurs d'exponentiation.
• Des plantages spontanés sans journaux d'erreurs ont été observés dans la version 1.1.18.6, rendant le système peu fiable pour les tâches de longue durée.

Pourquoi c'est important

Pour les ingénieurs logiciels et les responsables techniques, ce rapport sert d'avertissement contre la confiance accordée aux affirmations marketing pour une infrastructure critique. ParticleDB se positionne comme une solution unifiée pour les agents IA, un domaine où la cohérence des données est primordiale. La découverte que les niveaux d'isolation des transactions peuvent être ignorés silencieusement signifie que les applications supposant une forte cohérence peuvent souffrir de conditions de course subtiles et difficiles à déboguer. Lorsqu'une base de données revendique « Full ACID » mais se comporte avec une isolation snapshot ou des garanties plus faibles, les développeurs peuvent concevoir des systèmes qui échouent sous charge concurrente.

Les problèmes d'instabilité, y compris les interblocages et les plantages inexpliqués, impactent directement la disponibilité du système. Dans un environnement de production, une base de données qui se fige après quelques secondes d'activité concurrente ou plante sans journaliser d'erreurs est opérationnellement intenable. Ces défauts obligent les équipes à investir lourdement dans la surveillance et les stratégies de contournement, annulant les gains de performance promis. De plus, l'implémentation incomplète du protocole wire Postgres signifie que la migration des applications existantes vers ParticleDB n'est pas une substitution directe, nécessitant un refactoring et des tests importants.

L'écart entre la documentation publique et les guides internes pour opérateurs met également en lumière un déficit de maturité. Lorsque les propriétés essentielles de sécurité sont décrites différemment dans l'aide en ligne, les pages d'accueil et la documentation interne, les utilisateurs ne peuvent pas prendre des décisions éclairées concernant les risques. Pour les organisations envisageant ParticleDB pour les workflows IA, le manque de preuves de sécurité transparentes et vérifiables ainsi que la présence de bugs connus de corruption de données suggèrent que la technologie n'est pas encore prête pour des déploiements critiques.

Ce que vous pouvez faire

• Évitez d'utiliser les versions de ParticleDB antérieures à 1.1.18.11.rc-7 en production en raison des problèmes connus d'interblocage et de plantage.
• Vérifiez empiriquement le comportement d'isolation des transactions plutôt que de vous fier à la documentation ; testez les conditions de course sous charge concurrente.
• Ne supposez pas une compatibilité totale avec Postgres ; auditez vos requêtes SQL pour les fonctionnalités non prises en charge comme les agrégats dans les instructions CASE ou l'exponentiation.
• Si vous utilisez ParticleDB, préférez les modes table-2pl ou serializable pour les données critiques, malgré les coûts potentiels de performance, afin d'assurer une cohérence plus forte.
• Surveillez la corruption silencieuse des données en implémentant des sommes de contrôle au niveau de l'application ou des tests de comparaison contre une base de données de confiance comme PostgreSQL.
• Demandez l'accès aux guides internes pour opérateurs ou aux spécifications détaillées de sécurité auprès du fournisseur avant de vous engager sur la plateforme.