Riassunto:
Il numero di vulnerabilità CVE risolte in ciascuna versione del kernel Linux è in rapido aumento e potrebbe superare le 2.000 a partire da Linux 7.3. Rispetto al mantenimento a lungo termine di circa 500 vulnerabilità nell'era Linux 6.x, questo numero ha superato 1.000 in Linux 7.0 e 1.500 in Linux 7.2.
Il manutentore ha sottolineato che l'aumento del numero di vulnerabilità non significa necessariamente che Linux stesso sia diventato più insicuro. Il motivo principale è che l’intelligenza artificiale e i modelli linguistici di grandi dimensioni hanno iniziato a scansionare il codice del kernel Linux su larga scala. Dopo 35 anni di sviluppo, il progetto Linux ha superato le 40 milioni di righe di codice. Gli strumenti automatizzati possono controllare aree impopolari che i manutentori umani raramente rivisitano, quindi sono stati effettivamente scoperti alcuni difetti reali. Alcuni record di vulnerabilità di Linux quest'anno sono stati chiaramente rilevati e i problemi correlati sono stati scoperti dall'analisi statica assistita dall'intelligenza artificiale e successivamente confermati dal team di sicurezza del prodotto Intel.
Tuttavia, la qualità di un gran numero di risultati della scansione AI non è uniforme, molti dei quali sono problemi a bassa priorità e concentrati in driver utilizzati raramente; alcune patch sono controverse o addirittura completamente "allucinazioni" dell'IA. I manutentori dovevano decidere caso per caso quali report valesse la pena elaborare e quali fossero solo rumore, con un conseguente aumento significativo del carico di lavoro del team del kernel.
Durante il ciclo di sviluppo del sottosistema di rete Linux 7.3, il manutentore Jakub Kicinski ha affermato che circa da un terzo alla metà delle 648 patch net-next sembravano essere solo correzioni a bassa priorità, ripuliture del codice o modifiche descrittive guidate dall'intelligenza artificiale. Ha detto senza mezzi termini che il team di manutenzione è stato "completamente sopraffatto".
L'onere aggiuntivo portato dall'intelligenza artificiale ha inoltre spinto gli sviluppatori a rivalutare se alcuni vecchi driver in circolazione da molti anni abbiano ancora valore. Nell'aprile di quest'anno, lo sviluppatore Andrew Lunn ha proposto di rimuovere circa 28.000 righe di codice di rete legacy, che serve principalmente hardware più vecchio delle epoche ISA e PCMCIA. In passato, questi driver richiedevano solitamente poca manutenzione perché avevano pochi utenti; ma ora gli scanner AI e gli strumenti di fuzz testing scoprono costantemente problemi, e i manutentori sono ancora obbligati a indagare e risolverli anche se confermano che nessuno utilizza più l’hardware in questione.
Linux 7.3 ha iniziato a rimuovere alcuni vecchi driver SGI e IBM e anche altri vecchi componenti sono sottoposti alla stessa revisione. I manutentori stanno valutando se il valore di compatibilità di questo codice è sufficiente a compensare i crescenti costi di manutenzione. Ad esempio, il driver del file system FreeVxFS è stato rimosso e i suoi manutentori ritengono che questo insieme di codice, conservato decenni fa per compatibilità con i sistemi più vecchi, sia ora principalmente un obiettivo di scansione per i controlli di vulnerabilità automatizzati.
La comunità del kernel Linux non rifiuta completamente l'intelligenza artificiale. Lo stesso manutentore della versione stabile di Linux Greg Kroah-Hartman ha utilizzato con successo uno strumento di test fuzz assistito da intelligenza artificiale eseguito localmente per scoprire le vulnerabilità del kernel. Il fulcro della controversia è che l'output dell'IA senza verifica manuale viene consegnato direttamente al manutentore per l'elaborazione. Kroah-Hartman ha recentemente vietato l'invio di patch generate da modelli linguistici di grandi dimensioni nel sottosistema di staging del kernel, ad eccezione dei veri fix di sicurezza. La guida aggiornata allo sviluppo del kernel ricorda inoltre che i report generati dall'intelligenza artificiale senza verifica manuale possono far perdere molto tempo ai manutentori.
Di fronte a questa situazione, il team del kernel ha iniziato a provare a "usare l'intelligenza artificiale per combattere l'intelligenza artificiale". Attualmente, il team ha ottenuto l’accesso a numerosi modelli all’avanguardia per rivedere le patch e filtrare i falsi risultati generati dall’intelligenza artificiale. Si sta anche valutando la possibilità di lasciare che modelli linguistici di grandi dimensioni assumano una maggiore attività di gestione quotidiana.
Si prevede che Kroah-Hartman discuterà ulteriormente questa tendenza alla conferenza Kernel Recipes 2026 che si terrà a Parigi dal 21 al 23 settembre. Linux 7.3 è attualmente in versione beta, con Linus Torvalds che rilascerà Linux 7.3-rc1 il 30 agosto dopo una finestra di fusione di due settimane.
Commenti