要約:
Linux カーネルの各バージョンで修正された CVE 脆弱性の数は急速に増加しており、Linux 7.3 以降では 2,000 を超える可能性があります。 Linux 6.x時代には約500件の脆弱性が長期保守されていたのに比べ、この数はLinux 7.0では1,000件を超え、Linux 7.2では1,500件を超えています。
管理者は、脆弱性の数の急増は、必ずしも Linux 自体の安全性が高まったことを意味するわけではないと指摘しました。その主な理由は、人工知能と大規模言語モデルが Linux カーネル コードを大規模にスキャンし始めたことです。 35 年間の開発を経て、Linux プロジェクトのコード行数は 4,000 万行を超えました。自動化されたツールは、人間のメンテナーがめったに再訪問しない人気のない領域をチェックできるため、いくつかの実際の欠陥が実際に発見されています。今年のいくつかの Linux 脆弱性記録は明確に指摘されており、関連する問題は AI 支援の静的分析によって発見され、後にインテルの製品セキュリティ チームによって確認されました。
しかし、多数の AI スキャン結果の品質にはばらつきがあり、その多くは優先度の低い問題であり、めったに使用されないドライバーに集中しています。一部のパッチは物議を醸しており、完全に AI の「幻覚」ですらあります。メンテナは、どのレポートが処理する価値があり、どのレポートが単なるノイズであるかをケースバイケースで判断する必要があり、その結果、カーネル チームの作業負荷が大幅に増加しました。
Linux 7.3 ネットワーク サブシステムの開発サイクル中に、メンテナの Jakub Kicinski 氏は、648 の net-next パッチの約 3 分の 1 から半分は、優先度の低い修正、コードのクリーンアップ、または AI による記述的な変更のみであるように見えると述べました。同氏は整備チームが「完全に圧倒されている」と率直に語った。
AI によってもたらされる追加の負担により、開発者は長年存在する一部の古いドライバーにまだ価値があるかどうかを再評価するようになりました。今年 4 月、開発者の Andrew Lunn は、主に ISA および PCMCIA 時代の古いハードウェアにサービスを提供する約 28,000 行のレガシー ネットワーク コードを削除することを提案しました。以前は、これらのドライバーはユーザーが少なかったため、通常、ほとんどメンテナンスを必要としませんでした。しかし現在、AI スキャナーやファズ テスト ツールは常に問題を発見しており、メンテナーは、関連するハードウェアをもう誰も使用していないことが確認された場合でも、依然として問題を調査して修正する義務があります。
Linux 7.3 では、一部の古い SGI および IBM ドライバーの削除が開始されており、他の古いコンポーネントも同様のレビューを受けています。保守者は、このコードの互換性の価値が増加する保守コストを相殺するのに十分であるかどうかを検討しています。たとえば、FreeVxFS ファイル システム ドライバーは削除されており、その管理者は、古いシステムとの互換性のために数十年前に保持されていたこのコード セットが、現在は主に自動脆弱性チェッカーのスキャン対象になっていると考えています。
Linux カーネル コミュニティは AI を完全に拒否しているわけではありません。 Linux 安定版の管理者である Greg Kroah-Hartman 氏自身が、ローカルで実行される AI 支援のファズ テスト ツールを使用してカーネルの脆弱性を発見することに成功しました。論争の焦点は、手動検証を行わない AI 出力が処理のために直接メンテナーに渡されるという点です。 Kroah-Hartman 氏は最近、真のセキュリティ修正を除き、カーネル ステージング サブシステムの大規模な言語モデルによって生成されたパッチの提出を禁止しました。更新されたカーネル開発ガイドでは、手動検証を行わずに AI によって生成されたレポートは、保守者の多くの時間を無駄にする可能性があることも思い出させます。
この状況に直面して、カーネル チームは「AI を使用して AI と戦う」ことを試み始めました。現在、チームはパッチをレビューし、AI によって生成された誤った結果を除外するために複数の最先端モデルにアクセスできるようになりました。また、大規模な言語モデルに日常的な管理作業をさらに任せることも検討しています。
Kroah-Hartman 氏は、9 月 21 日から 23 日までパリで開催される Kernel Recipes 2026 カンファレンスでこの傾向についてさらに議論する予定です。Linux 7.3 は現在ベータ版であり、Linus Torvalds 氏が 2 週間のマージ期間を経て 8 月 30 日に Linux 7.3-rc1 をリリースします。
コメント