AI翻旧账：Linux内核漏洞数激增，维护者不堪重负

Linux 内核正经历一场由 AI 驱动的“漏洞大爆发”。据稳定版维护者 Greg Kroah-Hartman 数据，过去 Linux 6.x 系列每版本修复约 500 个 CVE，进入 7.x 后激增：7.0 超 1000 个，7.2 突破 1500 个，开发中的 7.3 或超 2000 个。

这并非内核突然变“不安全”，而是 AI 开始“翻旧账”。Linux 内核已有 35 年历史，源码约 4000 万行，存在大量少被触碰的驱动、文件系统和历史兼容代码。如今研究人员利用 LLM、AI 辅助静态分析和模糊测试工具大规模自动化检查，持续扫描人类少关注的区域，使此前被忽略的问题被翻出。

维护者的新负担

然而，AI 在发现漏洞的同时给维护者带来新负担。AI 扫描后并非所有发现都值得修复，存在低优先级问题、理论风险、重复报告甚至 AI“脑补”的漏洞。不少问题集中在老旧、几乎无人使用的驱动和代码上。AI 降低了“发现问题”的成本，却未降低“判断问题”的成本，维护者需面对海量报告逐一甄别。

Linux 网络子系统尤其明显。据 Tomshardware 报道，在 7.3 开发周期中，网络维护者 Jakub Kicinski 统计 648 个 net-next 补丁，约三分之一到一半与 AI 驱动的修复、清理或说明有关。他直言：“我们已经彻底忙不过来了。”

老代码的去留

这场漏洞潮也让社区审视老代码的维护必要性。内核为兼容几十年硬件积累大量历史代码，AI 不会因“已没人用”而停止检查。今年 4 月，开发者 Andrew Lunn 提出删除近 2.8 万行遗留网络代码，涉及古老 ISA 和 PCMCIA 硬件。7.3 周期中，一些老旧 SGI、IBM 驱动及 FreeVxFS 文件系统驱动等历史组件正被移除，因其成为自动化扫描工具的“靶子”，维护收益越来越低。

用 AI 对抗 AI

Linux 社区并未一刀切禁用 AI。Linus Torvalds 在邮件列表直言内核不是“反 AI”项目，并称“无法接受就 Fork 或离开”。维护者开始用 AI 筛选 AI 结果：Kroah-Hartman 已用本地 AI 工具辅助模糊测试，至今年 4 月已帮助发现数十个进入主线的补丁。内核团队还获得多个前沿模型权限，用于审查补丁、过滤错误结果和 AI 幻觉，并将重复性管理工作交给 LLM。

Linux 社区真正纠结的不是“要不要用 AI”，而是如何让 AI 找得更多更快，同时不给维护者制造麻烦。当 AI 能翻遍数千万行代码，“发现漏洞”已非最难，真正稀缺的是判断漏洞是否值得修。这场由 AI 引发的“翻旧账”浪潮，正在重塑内核开发的协作模式，而如何在效率与负担之间找到平衡，将是 Linux 未来数年必须面对的课题。