近日，微软 FORGE 实验室披露，其人工智能扫描系统 MDASH 在 Linux 内核中发现了 59 个上游错误报告。这一数字看似不大，但在 2026 年 11 月之前，Linux 常见漏洞和暴露（CVEs）团队平均每天报告的 CVE 数量已达 27 次。
Linux 创始人林纳斯·托瓦兹曾在 2024 年指出，在 Linux 系统中，任何错误都可能演变为安全漏洞，只要攻击者足够聪明。这种趋势并非 Linux 独有。在最近一次的 Windows“补丁星期二”安全更新中，微软报告了 726 个 CVE，其中绝大多数错误报告源自 AI 程序员生成的代码。随着利用 AI 查找漏洞变得日益容易，开发人员和内核维护者正面临巨大的工作压力。
维护者不堪重负
激增的错误报告让本已超负荷运转的维护人员雪上加霜。今年十一月，ARM 工程师、Linux 内核维护者 Lorenzo Stoakes 宣布暂停代码审查工作。Stoakes 自 2014 年起参与内核贡献，负责内存管理核心、misc、回收以及 Rust 相关部分的审核。他表示：“鉴于当前由 AI 生成系列导致的内核吞吐量，我缺乏带宽，除了自己维护的领域外，通常无法提供其他审查。”
Stoakes 描述道，AI 浪潮带来的影响逐渐加剧：起初偶尔出现垃圾信息，随后频率升至每周一次，再到每隔几天一次，如今他看到的半数以上提交均存在问题。
Linux 内核稳定版维护者 Greg Kroah-Hartman 在欧洲开源峰会的问答环节中也表达了类似困境：“我们没有足够的人手来审查这些内容，我们需要更多的评论员。所有的维护者都感到精疲力竭，这种情况已经持续了十年。”
AI 能否解决自身制造的问题？
尽管挑战严峻，但业界也观察到一些积极迹象。最近的 Linux 内核邮件列表（LKML）消息显示，Linux 7.4 rc 2 版本中的大部分新代码是由各种 AI 修复驱动的。
Kroah-Hartman 指出，至少在 BPF（伯克利数据包过滤器）领域，AI 修复的效果显著。他认为虽然其他领域尚未达到同等水平，但这可能是一个转折点，预示着未来情况有望改善。然而，对于人类批准的 AI 修复何时能赶上并克服 AI 产生的错误报告，Kroah-Hartman 在接受采访时并未给出乐观估计。
开源 cURL 项目创始人 Daniel Stenberg 持谨慎乐观态度。他在采访中表示，目前 AI 错误仍是主要头痛问题，但同时也带来了成千上万维护者的工作量增加。他预计，未来还将看到更严重的安全漏洞被揭露。
近期案例包括一个严重的 Linux TCP 网络安全漏洞、针对 Alpine Linux OpenSSH 的恶意漏洞，以及几乎导致 GitLab 失误的事件。许多组织仍在寻找解决方案，部分漏洞尚未得到修复。
