Resumen:
El número de vulnerabilidades CVE corregidas en cada versión del kernel de Linux está aumentando rápidamente y puede superar las 2000 a partir de Linux 7.3. En comparación con el mantenimiento a largo plazo de aproximadamente 500 vulnerabilidades en la era Linux 6.x, este número superó las 1.000 en Linux 7.0 y las 1.500 en Linux 7.2.
El responsable del mantenimiento señaló que el aumento en el número de vulnerabilidades no significa necesariamente que el propio Linux se haya vuelto más inseguro. La razón principal es que la inteligencia artificial y los grandes modelos de lenguaje han comenzado a escanear el código del kernel de Linux a gran escala. Tras 35 años de desarrollo, el proyecto Linux ha superado los 40 millones de líneas de código. Las herramientas automatizadas pueden comprobar áreas impopulares que los mantenedores humanos rara vez vuelven a visitar, por lo que se han descubierto algunos defectos reales. Algunos registros de vulnerabilidad de Linux de este año se han observado claramente y los problemas relacionados se descubrieron mediante análisis estático asistido por IA y luego fueron confirmados por el equipo de seguridad de productos de Intel.
Sin embargo, la calidad de una gran cantidad de resultados de análisis de IA es desigual, muchos de los cuales son problemas de baja prioridad y se concentran en controladores que se utilizan con poca frecuencia; algunos parches son controvertidos o incluso "alucinaciones" completamente de IA. Los mantenedores tuvieron que decidir caso por caso qué informes valía la pena procesar y cuáles eran simplemente ruido, lo que resultó en un aumento significativo en la carga de trabajo del equipo del núcleo.
Durante el ciclo de desarrollo del subsistema de red Linux 7.3, el responsable de mantenimiento Jakub Kicinski dijo que entre un tercio y la mitad de los 648 parches net-next parecían ser solo correcciones de baja prioridad, limpiezas de código o cambios descriptivos impulsados por IA. Dijo sin rodeos que el equipo de mantenimiento se ha visto "completamente abrumado".
La carga adicional que supone la IA también ha llevado a los desarrolladores a reevaluar si algunos controladores antiguos que existen desde hace muchos años todavía tienen valor. En abril de este año, el desarrollador Andrew Lunn propuso eliminar alrededor de 28.000 líneas de código de red heredado, que sirve principalmente para hardware más antiguo de las eras ISA y PCMCIA. Antiguamente estos controladores normalmente requerían poco mantenimiento porque tenían pocos usuarios; pero ahora los escáneres de inteligencia artificial y las herramientas de prueba de fuzz descubren problemas constantemente, y los mantenedores todavía están obligados a investigarlos y solucionarlos incluso si confirman que ya nadie está usando el hardware relevante.
Linux 7.3 ha comenzado a eliminar algunos controladores SGI e IBM antiguos, y otros componentes antiguos también están pasando por la misma revisión. Los mantenedores están sopesando si el valor de compatibilidad de este código es suficiente para compensar los crecientes costos de mantenimiento. Por ejemplo, se eliminó el controlador del sistema de archivos FreeVxFS y sus responsables creen que este conjunto de código, que se conservó hace décadas por compatibilidad con sistemas más antiguos, ahora es principalmente un objetivo de escaneo para verificadores de vulnerabilidades automatizados.
La comunidad del kernel de Linux no rechaza completamente la IA. El propio mantenedor de la versión estable de Linux, Greg Kroah-Hartman, ha utilizado con éxito una herramienta de prueba fuzz asistida por IA que se ejecuta localmente para descubrir vulnerabilidades del kernel. El foco de la disputa es que la salida de IA sin verificación manual se entrega directamente al mantenedor para su procesamiento. Kroah-Hartman prohibió recientemente el envío de parches generados por modelos de lenguaje grandes en el subsistema de preparación del kernel, excepto verdaderas correcciones de seguridad. La guía de desarrollo del kernel actualizada también recuerda que los informes generados por IA sin verificación manual pueden hacer perder mucho tiempo a los mantenedores.
Ante esta situación, el equipo del kernel comenzó a intentar "usar la IA para luchar contra la IA". Actualmente, el equipo ha obtenido acceso a múltiples modelos de vanguardia para revisar parches y filtrar resultados falsos generados por la IA. También está considerando permitir que los modelos de lenguajes grandes asuman más trabajo de gestión diario.
Se espera que Kroah-Hartman analice más a fondo esta tendencia en la conferencia Kernel Recipes 2026 en París del 21 al 23 de septiembre. Linux 7.3 se encuentra actualmente en versión beta, y Linus Torvalds lanzará Linux 7.3-rc1 el 30 de agosto después de una ventana de fusión de dos semanas.
Comentarios