Число исправленных CVE в Linux может приблизиться к 2000 за релиз
Сопровождающие ядра Linux сообщают о резком росте отчётов об уязвимостях: автоматизированный поиск с ИИ находит и реальные ошибки, и большое количество сомнительных срабатываний.
Количество CVE, исправляемых в каждом релизе ядра Linux, приближается к 2000 — против примерно 500 на протяжении значительной части ветки Linux 6.x. По данным Tom’s Hardware, график, подготовленный стабильным сопровождающим Linux Грегом Кроа-Хартманом для выступления на Kernel Recipes 2026, показывает более 1000 CVE в Linux 7.0 и свыше 1500 — в Linux 7.2. При сохранении динамики Linux 7.3 может превысить отметку в 2000.
Рост связывают прежде всего не с внезапным ухудшением защищённости ядра, а с массовым применением ИИ и больших языковых моделей для анализа его исходного кода. За 35 лет кодовая база Linux разрослась более чем до 40 млн строк, и автоматические инструменты способны проверять редко затрагиваемые участки, включая старые драйверы. Некоторые найденные таким способом уязвимости подтверждались специалистами Intel Product Security; в записях CVE за этот год прямо упоминается статический анализ с ИИ.
Однако заметная доля отчётов оказывается малозначимой либо ошибочной: речь идёт о проблемах в малораспространённых драйверах, спорных исправлениях и галлюцинациях моделей. Проверять результаты всё равно приходится людям. Сопровождающий сетевой подсистемы Якоб Кичински написал, что от трети до половины из 648 патчей net-next в одном цикле выглядели как низкоприоритетные исправления, чистка кода или уточнения, связанные с ИИ. По его словам, команда «полностью перегружена».
Новая нагрузка уже влияет на судьбу старого кода. В апреле разработчик Эндрю Ланн предложил удалить почти 28 000 строк устаревшего сетевого кода для оборудования эпохи ISA и PCMCIA. Такие драйверы прежде требовали мало внимания из-за почти полного отсутствия пользователей, но теперь найденные автоматикой дефекты необходимо расследовать и исправлять. В Linux 7.3 также удаляют старый код драйверов SGI и IBM. Драйвер файловой системы FreeVxFS был исключён после того, как его сопровождающий указал, что этот код совместимости в основном стал материалом для автоматических проверок на ошибки.
При этом разработчики ядра не отказываются от ИИ как такового. Кроа-Хартман сам использовал локально запущенные инструменты фаззинга с поддержкой ИИ для поиска ошибок в ядре. Проблемой называют непроверенные результаты, которые перекладывают работу по валидации на сопровождающих. Кроа-Хартман запретил патчи, сгенерированные LLM, в подсистеме staging, за исключением обоснованных исправлений безопасности; рекомендации для разработчиков также предупреждают, что отчёты от ИИ без проверки человеком отнимают время у команды.
По информации Tom’s Hardware, сообщество получило доступ к нескольким передовым моделям, чтобы проверять патчи и отсеивать ложные результаты. Linux 7.3 уже вошёл в стадию тестирования: Линус Торвальдс выпустил Linux 7.3-rc1 30 августа, после завершения двухнедельного окна слияния изменений.