Resumo:
O número de vulnerabilidades CVE corrigidas em cada versão do kernel Linux está aumentando rapidamente e pode exceder 2.000 a partir do Linux 7.3. Comparado com a manutenção de longo prazo de cerca de 500 vulnerabilidades na era Linux 6.x, esse número ultrapassou 1.000 no Linux 7.0 e 1.500 no Linux 7.2.
O mantenedor destacou que o aumento no número de vulnerabilidades não significa necessariamente que o próprio Linux tenha se tornado mais inseguro. A principal razão é que a inteligência artificial e os grandes modelos de linguagem começaram a escanear o código do kernel Linux em grande escala. Após 35 anos de desenvolvimento, o projeto Linux ultrapassou 40 milhões de linhas de código. Ferramentas automatizadas podem verificar áreas impopulares que os mantenedores humanos raramente revisitam, portanto, alguns defeitos reais foram realmente descobertos. Alguns registros de vulnerabilidade do Linux este ano foram claramente observados e problemas relacionados foram descobertos por análise estática assistida por IA e posteriormente confirmados pela equipe de segurança de produtos da Intel.
No entanto, a qualidade de um grande número de resultados de varredura de IA é irregular, muitos dos quais são problemas de baixa prioridade e concentrados em drivers raramente usados; alguns patches são controversos ou até mesmo "alucinações" de IA. Os mantenedores tiveram que decidir caso a caso quais relatórios valiam a pena processar e quais eram apenas ruído, resultando em um aumento significativo na carga de trabalho da equipe do kernel.
Durante o ciclo de desenvolvimento do subsistema de rede Linux 7.3, o mantenedor Jakub Kicinski disse que cerca de um terço a metade dos 648 patches net-next pareciam ser apenas correções de baixa prioridade, limpezas de código ou alterações descritivas impulsionadas pela IA. Ele disse sem rodeios que a equipe de manutenção estava “completamente sobrecarregada”.
A carga adicional trazida pela IA também levou os desenvolvedores a reavaliar se alguns drivers antigos que já existem há muitos anos ainda têm valor. Em abril deste ano, o desenvolvedor Andrew Lunn propôs a remoção de cerca de 28.000 linhas de código de rede legado, que atende principalmente hardware mais antigo das eras ISA e PCMCIA. No passado, esses drivers geralmente exigiam pouca manutenção porque tinham poucos usuários; mas agora os scanners de IA e as ferramentas de teste difuso estão constantemente descobrindo problemas, e os mantenedores ainda são obrigados a investigá-los e corrigi-los, mesmo que confirmem que ninguém está mais usando o hardware relevante.
O Linux 7.3 começou a remover alguns drivers SGI e IBM antigos, e outros componentes antigos também estão passando pela mesma revisão. Os mantenedores estão avaliando se o valor de compatibilidade deste código é suficiente para compensar os crescentes custos de manutenção. Por exemplo, o driver do sistema de arquivos FreeVxFS foi removido e seus mantenedores acreditam que esse conjunto de códigos, que foi mantido décadas atrás para compatibilidade com sistemas mais antigos, é agora principalmente um alvo de verificação para verificadores automatizados de vulnerabilidades.
A comunidade do kernel Linux não rejeita completamente a IA. O próprio mantenedor da versão estável do Linux, Greg Kroah-Hartman, usou com sucesso uma ferramenta de teste fuzz assistida por IA em execução local para descobrir vulnerabilidades do kernel. O foco da disputa é que a saída da IA sem verificação manual é entregue diretamente ao mantenedor para processamento. Kroah-Hartman proibiu recentemente o envio de patches gerados por grandes modelos de linguagem no subsistema de teste do kernel, exceto para verdadeiras correções de segurança. O guia de desenvolvimento do kernel atualizado também lembra que os relatórios gerados por IA sem verificação manual podem desperdiçar muito tempo dos mantenedores.
Diante desta situação, a equipe do kernel começou a tentar "usar a IA para combater a IA". Atualmente, a equipe obteve acesso a vários modelos de ponta para revisar patches e filtrar resultados falsos gerados pela IA. A empresa também está considerando permitir que grandes modelos de linguagem assumam mais trabalho diário de gerenciamento.
Espera-se que Kroah-Hartman discuta mais detalhadamente essa tendência na conferência Kernel Recipes 2026 em Paris, de 21 a 23 de setembro. O Linux 7.3 está atualmente em beta, com Linus Torvalds lançando o Linux 7.3-rc1 em 30 de agosto, após uma janela de fusão de duas semanas.
Comentários