Résumé :
Le nombre de vulnérabilités CVE corrigées dans chaque version du noyau Linux augmente rapidement et pourrait dépasser 2 000 à partir de Linux 7.3. Comparé à la maintenance à long terme d'environ 500 vulnérabilités sous Linux 6.x, ce nombre a dépassé 1 000 sous Linux 7.0 et 1 500 sous Linux 7.2.
Le responsable a souligné que l'augmentation du nombre de vulnérabilités ne signifie pas nécessairement que Linux lui-même est devenu plus précaire. La raison principale est que l'intelligence artificielle et les grands modèles de langage ont commencé à analyser le code du noyau Linux à grande échelle. Après 35 ans de développement, le projet Linux a dépassé les 40 millions de lignes de code. Les outils automatisés peuvent vérifier des domaines impopulaires que les mainteneurs humains revisitent rarement, de sorte que de véritables défauts ont effectivement été découverts. Certains enregistrements de vulnérabilités Linux cette année ont été clairement notés, et les problèmes associés ont été découverts par une analyse statique assistée par l'IA et confirmés plus tard par l'équipe de sécurité des produits d'Intel.
Cependant, la qualité d'un grand nombre de résultats d'analyse IA est inégale, la plupart d'entre eux étant des problèmes de faible priorité et concentrés sur des pilotes rarement utilisés ; certains correctifs sont controversés ou même des « hallucinations » complètement IA. Les responsables ont dû décider au cas par cas quels rapports méritaient d'être traités et lesquels n'étaient que du bruit, ce qui a entraîné une augmentation significative de la charge de travail de l'équipe du noyau.
Au cours du cycle de développement du sous-système réseau Linux 7.3, le responsable Jakub Kicinski a déclaré qu'environ un tiers à la moitié des 648 correctifs net-next semblaient n'être que des correctifs de faible priorité, des nettoyages de code ou des modifications descriptives pilotées par l'IA. Il a déclaré sans ambages que l'équipe de maintenance était "complètement débordée".
La charge supplémentaire apportée par l'IA a également incité les développeurs à réévaluer si certains anciens pilotes qui existent depuis de nombreuses années ont encore de la valeur. En avril de cette année, le développeur Andrew Lunn a proposé de supprimer environ 28 000 lignes de code réseau existant, qui servent principalement du matériel plus ancien des époques ISA et PCMCIA. Dans le passé, ces pilotes nécessitaient généralement peu de maintenance car ils comptaient peu d’utilisateurs ; mais désormais, les scanners d'IA et les outils de test de fuzz découvrent constamment des problèmes, et les responsables sont toujours obligés de les enquêter et de les résoudre même s'ils confirment que personne n'utilise plus le matériel concerné.
Linux 7.3 a commencé à supprimer certains anciens pilotes SGI et IBM, et d'autres composants anciens subissent également la même révision. Les responsables se demandent si la valeur de compatibilité de ce code est suffisante pour compenser l'augmentation des coûts de maintenance. Par exemple, le pilote du système de fichiers FreeVxFS a été supprimé et ses responsables estiment que cet ensemble de code, qui a été conservé il y a des décennies pour des raisons de compatibilité avec les systèmes plus anciens, est désormais principalement une cible d'analyse pour les vérificateurs de vulnérabilités automatisés.
La communauté du noyau Linux ne rejette pas complètement l'IA. Le responsable de la version stable de Linux, Greg Kroah-Hartman, a lui-même utilisé avec succès un outil de test de fuzz assisté par l'IA exécuté localement pour découvrir les vulnérabilités du noyau. Le point central du différend est que les résultats de l’IA sans vérification manuelle sont directement transmis au responsable pour traitement. Kroah-Hartman a récemment interdit la soumission de correctifs générés par de grands modèles de langage dans le sous-système intermédiaire du noyau, à l'exception des véritables correctifs de sécurité. Le guide de développement du noyau mis à jour rappelle également que les rapports générés par l'IA sans vérification manuelle peuvent faire perdre beaucoup de temps aux responsables.
Face à cette situation, l'équipe du noyau a commencé à essayer « d'utiliser l'IA pour combattre l'IA ». Actuellement, l’équipe a accès à plusieurs modèles de pointe pour examiner les correctifs et filtrer les faux résultats générés par l’IA. Il envisage également de laisser les grands modèles de langage se charger davantage du travail de gestion quotidien.
Kroah-Hartman devrait discuter plus en détail de cette tendance lors de la conférence Kernel Recipes 2026 à Paris du 21 au 23 septembre. Linux 7.3 est actuellement en version bêta, Linus Torvalds publiant Linux 7.3-rc1 le 30 août après une fenêtre de fusion de deux semaines.
Commentaires