L'intelligenza artificiale, il cui uso è stato recentemente avallato da Linus Torvalds in persona, sta individuando migliaia di vulnerabilità nel kernel Linux, un ritmo mai registrato prima e che sta mettendo sotto pressione i manutentori del progetto. Negli ultimi rilasci, il numero di falle corrette ha superato quota 1.500 per versione, e le proiezioni indicano che il prossimo ciclo potrebbe avvicinarsi ai 2.000 interventi, un salto netto rispetto ai circa 500 rilevati per anni. Il modello GLM‑5.3, sviluppato dalla società cinese Z.ai, ha contribuito a scoprire oltre mille vulnerabilità critiche in progetti open source, incluso il kernel Linux. Questi risultati si aggiungono alle migliaia di segnalazioni provenienti da altre piattaforme di revisione automatizzata del codice, che stanno alimentando un incremento senza precedenti nel numero di CVE identificati e corretti.

Greg Kroah‑Hartman, manutentore storico del kernel, ha mostrato un grafico che evidenzia la crescita delle vulnerabilità rilevate nelle versioni più recenti. Tra le versioni 6.9 e 6.19, la media era di circa 500 CVE per rilascio. Con l'arrivo della serie 7.x, il numero è raddoppiato, superando i 1.000 nella versione 7.0 e oltrepassando i 1.500 nella 7.2. Secondo Kroah‑Hartman, la tendenza potrebbe continuare con Linux 7.3, grazie alle capacità sempre maggiori dei sistemi di analisi automatica. L'aumento delle segnalazioni può sembrare allarmante, soprattutto considerando che moltissimi dispositivi consumer, commerciali e industriali si basa su piattaforme Linux. Il kernel comprende circa 40 milioni di righe di codice, un'estensione che suggerisce la presenza di molte altre vulnerabilità ancora da individuare. Tuttavia, la maggior parte dei CVE documentati riguarda componenti obsoleti, driver non più utilizzati o funzionalità deprecate da tempo.

La crescita dei report generati dall'IA sta avendo peraltro anche effetti positivi. All'inizio dell'anno, i manutentori hanno rimosso un insieme di driver datati e l'intero sottosistema ISDN, che contenevano decine di vulnerabilità segnalate dalle IA stesse. L'eliminazione di codice non più necessario ha contribuito a ridurre la superficie di attacco e a semplificare la manutenzione del kernel. Parallelamente, la comunità ha discusso pubblicamente l'impatto dell'IA sulla sicurezza del kernel. In un intervento su social.kernel.org, sviluppatori e manutentori hanno evidenziato come l'adozione di strumenti automatizzati stia cambiando il modo in cui vengono individuati i problemi, con un volume di segnalazioni che richiede nuove strategie di gestione. Il messaggio sottolinea che l'IA sta diventando parte integrante del processo di revisione, ma che la capacità di filtrare, verificare e correggere le segnalazioni resta un compito umano complesso.

Tutto ciò ha comportato comunque un aumento significativo della pressione sui manutentori. Il numero di CVE corretti per rilascio è cresciuto a un ritmo tale da richiedere un coordinamento più stretto tra sviluppatori, revisori e responsabili della sicurezza. La comunità sta valutando strumenti e processi per gestire l'ondata di segnalazioni, evitando che la quantità di bug rilevati superi la capacità di analisi e intervento. Nonostante la mole di vulnerabilità individuate, la qualità del codice del kernel non è peggiorata: l'aumento dei CVE è principalmente il risultato di strumenti più potenti e di una maggiore attenzione alla sicurezza. Le piattaforme di analisi automatica stanno esplorando parti del codice che per anni erano rimaste in ombra, portando alla luce problemi latenti ma spesso non critici.

Per approfondire:

Windows 11, l'ultimo aggiornamento rompe cursori e sfondi

Windows 11, la patch KB5121003 causa crash nei videogiochi

VLC, avvio lentissimo sotto Windows: colpa del programma o dell'antivirus?

L'IA scopre oltre 1.000 falle in Chrome; Google valuta patch due volte a set...

Il prossimo rilascio del kernel, Linux 7.3, sarà un banco di prova per capire se il numero di vulnerabilità continuerà a crescere e se i manutentori riusciranno a mantenere il ritmo. La combinazione di strumenti automatizzati e interventi manuali sarà determinante per garantire che il kernel resti affidabile, sicuro e sostenibile nel lungo periodo.

Proposte di lettura:

Debian verso lo stop ai contributi generati dalla IA

Linus Torvalds cambia rotta: chi non vuole l'IA in Linux può anche anda...

Il bug in Windows 11 che divora fino a 70 GB di spazio

Il debito tecnico come arma cibernetica?