Ferramentas de inteligência artificial aumentaram a quantidade de falhas identificadas no kernel Linux e também o volume de relatórios que precisam ser revisados por desenvolvedores. O efeito aparece no ciclo do Linux 7.3, marcado por patches de baixa prioridade, correções e análises cuja validade ainda precisa ser verificada por humanos.
Mais código analisado
Após 35 anos de desenvolvimento, o kernel ultrapassou 40 milhões de linhas de código. O conjunto inclui componentes usados em servidores, smartphones e computadores pessoais, além de drivers para equipamentos antigos ou pouco utilizados.
Esse volume criou espaço para ferramentas automatizadas e modelos de IA examinarem trechos que raramente passam por uma revisão humana. Os sistemas conseguem apontar anomalias e sugerir correções em poucos minutos. Parte das vulnerabilidades registradas neste ano foi encontrada com análise estática assistida por IA e depois confirmada pela equipe de segurança de produtos da Intel. Greg Kroah-Hartman também usou ferramentas de fuzzing com IA executadas localmente para localizar falhas no kernel.
A expansão das análises se reflete no número de vulnerabilidades com CVE atribuídas e corrigidas em cada versão. Durante a maior parte do ciclo de vida do Linux 6.x, eram cerca de 500 CVEs. O total passou de 1.000 no Linux 7.0 e superou 1.500 no Linux 7.2. Se o ritmo continuar, o Linux 7.3 poderá ser a primeira versão acima de 2.000 CVEs.
Validação ainda depende de pessoas
A alta não indica, por si só, que o Linux tenha ficado menos seguro ou que cada atualização esteja criando milhares de bugs. Muitos problemas já estavam no código e só foram identificados quando a análise passou a alcançar uma escala maior.
As descobertas, porém, não têm todas a mesma qualidade. Um sistema de IA pode apontar um defeito pequeno em um driver quase sem uso, sugerir um patch não testado ou indicar um problema inexistente. Cabe aos desenvolvedores ler o código, reproduzir o erro, avaliar seu impacto e verificar se a correção interfere em outras partes do kernel.
Na preparação do Linux 7.3, Jakub Kicinski estimou que entre um terço e metade dos 648 patches do ciclo estava relacionado a correções de baixa prioridade, limpeza de código ou ajustes orientados por IA. Diante do aumento de relatórios e patches, ele afirmou que a equipe de rede Linux estava “completamente sobrecarregada”.
Código antigo entra na discussão
A quantidade de análises também reacendeu o debate sobre a manutenção de equipamentos obsoletos. Em abril, Andrew Lunn propôs remover quase 28.000 linhas de código de rede voltadas a hardware da era ISA e PCMCIA.
O Linux 7.3 está retirando parte do código de drivers antigos da SGI e da IBM. O FreeVxFS, driver de um sistema de arquivos, também foi removido depois que os mantenedores concluíram que ele era usado principalmente por ferramentas automatizadas de depuração.
A comunidade não pretende rejeitar código ou relatórios produzidos por IA. A preocupação está no envio direto de resultados não verificados, que transfere aos mantenedores a tarefa de validar as próprias máquinas.
Kroah-Hartman limitou os patches gerados por modelos de linguagem à área de preparação do kernel, com exceção de patches de segurança considerados válidos. As diretrizes de contribuição também alertaram que relatórios sem verificação poderiam consumir o tempo do projeto.
Para lidar com a quantidade de material, os desenvolvedores receberam acesso a modelos avançados que ajudam a avaliar patches, identificar resultados falsos e realizar tarefas administrativas repetitivas. A IA ampliou a capacidade de encontrar bugs, mas a verificação e a implementação das correções continuam dependendo de pessoas com experiência suficiente para testar o que foi identificado.
