AI moltiplica le vulnerabilità trovate nel kernel Linux: mantenitori sotto pressione
L’uso di AI per scovare bug nel kernel Linux fa salire le CVE a livelli record, complicando il lavoro dei team di manutenzione.
Il kernel Linux sta registrando un incremento senza precedenti delle vulnerabilità (CVE) individuate per ogni release, superando la soglia delle 2.000 per Linux 7.3. Questo fenomeno non riflette un peggioramento della sicurezza, ma è legato all’utilizzo crescente di AI e large language models per analizzare i 40 milioni di linee di codice del sistema operativo. Gli strumenti automatizzati permettono di esplorare zone del codice spesso trascurate, scoprendo sia difetti reali che numerosi falsi positivi.
Molte delle vulnerabilità rilevate riguardano driver obsoleti o poco usati, portando i maintainer a interrogarsi sulla reale utilità di mantenerli nel codice. Alcuni componenti storici come driver SGI, IBM e file system antiquati sono stati rimossi dopo che la manutenzione risultava sproporzionata rispetto all’effettivo impiego.
L’ondata di segnalazioni generate dall’AI sta sovraccaricando i team di sviluppo: "Siamo completamente sopraffatti," ha affermato Jakub Kicinski, uno dei principali responsabili del networking. Per arginare il problema, sono state introdotte linee guida che scoraggiano l’invio di patch generate dall’AI senza verifica umana e vengono ora usati modelli AI anche per filtrare i risultati inattendibili. Il tema sarà centrale nel prossimo Kernel Recipes di Parigi.
