Zusammenfassung:
Die Anzahl der in jeder Version des Linux-Kernels behobenen CVE-Schwachstellen steigt rapide an und kann ab Linux 7.3 2.000 überschreiten. Verglichen mit der langfristigen Wartung von etwa 500 Schwachstellen in der Linux 6.x-Ära liegt diese Zahl bei Linux 7.0 bei über 1.000 und bei Linux 7.2 bei über 1.500.
Der Betreuer wies darauf hin, dass der Anstieg der Anzahl der Schwachstellen nicht unbedingt bedeutet, dass Linux selbst unsicherer geworden ist. Der Hauptgrund ist, dass künstliche Intelligenz und große Sprachmodelle damit begonnen haben, Linux-Kernel-Code in großem Umfang zu scannen. Nach 35 Jahren Entwicklung hat das Linux-Projekt mehr als 40 Millionen Codezeilen erreicht. Automatisierte Tools können unbeliebte Bereiche überprüfen, die menschliche Betreuer selten erneut aufsuchen, sodass tatsächlich einige echte Mängel entdeckt wurden. Einige Linux-Schwachstellen wurden in diesem Jahr eindeutig festgestellt, und entsprechende Probleme wurden durch eine KI-gestützte statische Analyse entdeckt und später vom Produktsicherheitsteam von Intel bestätigt.
Allerdings ist die Qualität einer großen Anzahl von KI-Scan-Ergebnissen ungleichmäßig, wobei es sich bei vielen um Probleme mit niedriger Priorität handelt und sie sich auf selten genutzte Treiber konzentrieren. Einige Patches sind umstritten oder sogar völlig KI-„Halluzinationen“. Die Betreuer mussten von Fall zu Fall entscheiden, welche Berichte es wert waren, verarbeitet zu werden, und welche nur Rauschen waren, was zu einer erheblichen Erhöhung der Arbeitsbelastung des Kernel-Teams führte.
Während des Entwicklungszyklus des Linux 7.3-Netzwerksubsystems sagte Betreuer Jakub Kicinski, dass etwa ein Drittel bis die Hälfte der 648 Net-Next-Patches nur Korrekturen mit niedriger Priorität, Codebereinigungen oder beschreibende Änderungen durch KI zu sein schienen. Er sagte unverblümt, dass das Wartungsteam „völlig überfordert“ sei.
Die zusätzliche Belastung durch KI hat Entwickler auch dazu veranlasst, neu zu bewerten, ob einige alte Treiber, die es schon seit vielen Jahren gibt, noch einen Wert haben. Im April dieses Jahres schlug Entwickler Andrew Lunn vor, etwa 28.000 Zeilen alten Netzwerkcodes zu entfernen, der hauptsächlich ältere Hardware aus der ISA- und PCMCIA-Ära bedient. In der Vergangenheit erforderten diese Treiber meist wenig Wartung, da sie nur wenige Benutzer hatten; Aber jetzt entdecken KI-Scanner und Fuzz-Testtools ständig Probleme, und Betreuer sind immer noch verpflichtet, sie zu untersuchen und zu beheben, selbst wenn sie bestätigen, dass niemand mehr die relevante Hardware verwendet.
Linux 7.3 hat damit begonnen, einige alte SGI- und IBM-Treiber zu entfernen, und auch andere alte Komponenten werden der gleichen Überprüfung unterzogen. Betreuer überlegen, ob der Kompatibilitätswert dieses Codes ausreicht, um die steigenden Wartungskosten auszugleichen. Beispielsweise wurde der FreeVxFS-Dateisystemtreiber entfernt, und seine Betreuer glauben, dass dieser Codesatz, der vor Jahrzehnten aus Kompatibilitätsgründen mit älteren Systemen beibehalten wurde, heute hauptsächlich ein Scan-Ziel für automatische Schwachstellenprüfer ist.
Die Linux-Kernel-Community lehnt KI nicht vollständig ab. Der Betreuer der stabilen Linux-Version, Greg Kroah-Hartman, selbst hat erfolgreich ein lokal ausgeführtes KI-gestütztes Fuzz-Testtool eingesetzt, um Kernel-Schwachstellen zu entdecken. Im Mittelpunkt des Streits steht, dass KI-Ausgaben ohne manuelle Überprüfung direkt an den Betreuer zur Verarbeitung übergeben werden. Kroah-Hartman hat kürzlich die Einreichung von Patches verboten, die von großen Sprachmodellen im Kernel-Staging-Subsystem generiert wurden, mit Ausnahme echter Sicherheitsfixes. Der aktualisierte Kernel-Entwicklungsleitfaden erinnert auch daran, dass KI-generierte Berichte ohne manuelle Überprüfung viel Zeit für Betreuer verschwenden können.
Angesichts dieser Situation begann das Kernel-Team zu versuchen, „KI zur Bekämpfung von KI einzusetzen“. Derzeit hat das Team Zugriff auf mehrere hochmoderne Modelle, um Patches zu überprüfen und durch KI generierte falsche Ergebnisse herauszufiltern. Es wird auch darüber nachgedacht, große Sprachmodelle mehr tägliche Verwaltungsarbeit übernehmen zu lassen.
Kroah-Hartman wird diesen Trend voraussichtlich auf der Kernel Recipes 2026-Konferenz vom 21. bis 23. September in Paris weiter diskutieren. Linux 7.3 befindet sich derzeit in der Betaphase, wobei Linus Torvalds Linux 7.3-rc1 am 30. August nach einem zweiwöchigen Zusammenführungsfenster veröffentlicht.
Kommentare