ШІ знаходить у ядрі Linux майже 2000 багів на реліз — мейнтейнери перевантажені

Кількість вразливостей, виявлених і виправлених у кожному релізі ядра Linux, стрімко зростає: якщо протягом більшої частини епохи Linux 6.x цей показник тримався близько 500 CVE-багів на реліз, то тепер він наближається до 2000.

Причина — не в тому, що Linux раптово став менш безпечним, а в тому, що LLM-моделі дедалі активніше «прочісують» величезну кодову базу ядра в пошуках вразливостей. Про тенденцію розповів мейнтейнер стабільної гілки Linux Грег Кроа-Хартман — вона фігурує на слайді до його майбутньої доповіді на конференції Kernel Recipes 2026. За наведеними даними, кількість CVE перевищила позначку 1000 із релізом Linux 7.0 і подолала 1500 із виходом Linux 7.2. Якщо тенденція збережеться, у Linux 7.3 показник цілком може перевищити 2000.

Кодова база ядра за 35 років існування Linux розрослася до понад 40 мільйонів рядків коду. Інструменти на основі ШІ здатні перевіряти величезні масиви рідко відвідуваних людьми ділянок коду й час від часу справді знаходять реальні дефекти: у записах CVE цього року вже прямо фігурують випадки, коли статичний аналіз за допомогою ШІ виявив вразливості, які згодом підтвердила служба безпеки продуктів Intel.

Водночас значна частина результатів такого «полювання» — це малозначущі вразливості (часто в коді периферійних драйверів), сумнівні патчі та відверті ШІ-галюцинації. Розбиратися, що з цього справді варте уваги, а що ні, доводиться людям-мейнтейнерам, і для команд ядра це вже перетворилося на серйозний головний біль.

Промовистий приклад навів мейнтейнер мережевої підсистеми Якуб Кіцінскі: у пул-реквесті net-next для Linux 7.3, за його оцінкою, від третини до половини з 648 оброблених за цикл патчів виявилися малопріоритетними виправленнями, «прибиранням» коду чи уточненнями, згенерованими за допомогою штучного інтелекту. «Ми повністю перевантажені», — написав він.

Потік автоматичних звітів змусив розробників Linux замислитися, чи варто взагалі підтримувати десятиліттями старі драйвери. Ще у квітні розробник Ендрю Ланн запропонував видалити майже 28 000 рядків застарілого мережевого коду для обладнання епохи ISA та PCMCIA. Історично такі драйвери майже не потребували уваги через відсутність користувачів — але ШІ та фаззинг-інструменти почали знаходити в них дефекти, які мейнтейнери зобов’язані досліджувати й виправляти, незалежно від того, чи хтось узагалі досі запускає таке обладнання.

У Linux 7.3 видаляють старий код драйверів SGI та IBM, а й інші застарілі компоненти переглядають з погляду того, чи виправдовує їхня сумісність вартість подальшої підтримки. Так, драйвер файлової системи FreeVxFS прибрали після того, як його мейнтейнер зазначив: десятиліттями старий код сумісності тепер здебільшого лише «годує» автоматичні перевірки вразливостей.

Спільнота розробників Linux не відкидає штучний інтелект як такий — навіть Кроа-Хартман успішно використовував локально запущені ШІ-інструменти для фаззингу під час пошуку багів у ядрі. Проблема не в LLM-моделях як інструменті, а в неперевірених результатах їхньої роботи, які «звалюють» на людей для валідації.

Нещодавно Кроа-Хартман заборонив приймати патчі, згенеровані мовними моделями, у підсистемі staging ядра — за винятком легітимних виправлень безпеки, а оновлені настанови для розробників тепер попереджають, що неперевірені людиною ШІ-звіти можуть просто марнувати час мейнтейнерів.

Команда дедалі частіше змушена «боротися з ШІ за допомогою ШІ»: вона отримала доступ до кількох провідних моделей для допомоги в рев’ю патчів і відсіювання галюцинованих результатів, а також розглядає можливість передати штучному інтелекту більше рутинної адміністративної роботи в наступних циклах розробки. Детальніше цю тенденцію Грег Кроа-Хартман планує розкрити на конференції Kernel Recipes, яка відбудеться в Парижі з 21 по 23 вересня.

Linux 7.3 уже перебуває на етапі тестування — Лінус Торвальдс випустив Linux 7.3-rc1 30 серпня, закривши двотижневе вікно злиття змін.