Linux, cambio nelle segnalazioni di vulnerabilità: stop alle liste private per i bug trovati dall’AI
Linus Torvalds introduce una nuova policy: le vulnerabilità scoperte da strumenti AI devono essere segnalate pubblicamente e non più via mailing list privata.
Linus Torvalds ha annunciato un cambio di rotta nella gestione delle vulnerabilità scoperte tramite strumenti di intelligenza artificiale (AI) nel kernel Linux. L'afflusso massiccio e ridondante di bug report generati da diversi ricercatori tramite gli stessi tool automatici ha reso la mailing list privata per la sicurezza “quasi del tutto ingestibile”, secondo Torvalds.
La nuova documentazione ufficiale stabilisce che i bug trovati con AI debbano essere segnalati pubblicamente direttamente ai maintainer di riferimento, senza passare per la lista privata. Le segnalazioni devono essere concise, in plain text e corredate da un riproduttore verificato.
Torvalds invita inoltre i ricercatori ad andare oltre la semplice segnalazione: “Se volete aggiungere valore, leggete la documentazione, scrivete una patch e contribuite davvero”. Questo approccio, già adottato da alcuni maintainer come Greg Kroah-Hartman, punta a responsabilizzare chi segnala i bug e a ridurre l’onere di triage sui maintainer.
Il progetto Linux ha inoltre formalizzato le regole per le contribuzioni AI-assisted: il codice generato da AI non può essere accompagnato dal tag “Signed-off-by”, ma da un nuovo tag “Assisted-by”. La responsabilità legale resta comunque in capo al contributore umano che invia la patch.
