AI报告大量Linux漏洞，维护者不堪重负纷纷退出

有些 Linux 维护者在 AI 生成的缺陷报告带来的沉重压力下选择退出，另一些人则看到了希望的迹象。

阅读完整简介 2026 年 11 月 13 日，美国东部时间晚上 8:20 John W. Banagan/Stockbyte/Getty Images ZDNET 核心要点 微软发现了一些 Linux 内核问题。 得益于 AI，Linux 和 Windows 都在艰难应对越来越多的缺陷报告。 维护者不堪重负，但也出现了希望的迹象。

最近，微软的 FORGE Lab 报告称，其 AI 扫描系统 MDASH 提交了 59 份上游 Linux 内核缺陷报告，其中一个漏洞至少已存在 21 年。这听起来很厉害，其实没那么惊人。2026 年截至 11 月 2 日，Linux 通用漏洞披露（CVE）团队平均每天报告 27 个 CVE。

为什么这么多？很简单：在 Linux 里，任何缺陷都可能是安全缺陷。正如 Linus Torvalds 在 2024 年对我所说：“缺陷总会发生，只要有人足够聪明，能想出怎么滥用它，任何东西都可能是安全缺陷。”况且，Linux 运行在从智能手机到冰箱再到超级计算机的各种设备上，在某个设备上可能是严重缺陷的问题，在另一个设备上可能根本不会出现。

不过，这不只是 Linux 的问题。在最新的 Windows 补丁星期二安全版本中，微软报告了 726 个 CVE。这些缺陷报告绝大多数来自 AI 程序员。在任何东西上找缺陷，都不再是难事。难的是审查和修复它们，而微软开发者和内核维护者都在努力跟上。

另见：微软修复了 1000 多个 Windows 缺陷——其中一个正被利用

正如 FORGE Lab 所说，“找缺陷和修缺陷已经严重失衡。”把它的发现转化为报告花了四个多人月，因为“人力是瓶颈”。

这让本就超负荷的维护者很受伤。11 月 10 日，ARM 工程师、Linux 内核维护者 Lorenzo Stoakes 放弃了代码审查工作。他此前负责内存管理核心、杂项、回收以及 Rust 相关部分的审查。Stoakes 自 2014 年起就是内核贡献者，他写道：“鉴于当前内核中 AI 生成补丁系列带来的吞吐量，很遗憾，除了我维护的那些领域之外，我缺乏足够精力来提供审查。”

Stoakes 还补充说：“当然，AI 浪潮一直很糟糕，而且还在明显恶化。起初我只是偶尔看到垃圾补丁。后来至少每周一次。再后来每隔几天就有。如今我看到的补丁里，差不多一半都是，甚至更多。”

另见：为开源应用提交缺陷报告对开发者帮助巨大——而且比你想象的容易

他不是一个人。正如 Linux 内核稳定维护者 Greg Kroah-Hartman 在欧洲开源峰会的问答环节所说：“我们没有足够的人来审查它们，也就是 LLM 生成的补丁洪流。我们需要更多审查者。我们不够。所有维护者都精疲力竭了，而且我们已经这样十年了。”

不过，也不全是悲观。Linux 的创造者 Linus Torvalds 最近在 Linux 内核邮件列表（LKML）的消息中表示，Linux 7.4 rc 2 中的许多新代码“是由各种 AI 修复推动的”。

他继续说道：“至少在 bpf（Berkeley Packet Filter）这边，修复进来的速度现在比新报告更快，如果属实，那听起来很美好。我认为大多数其他领域还没到那个程度，但这至少是个迹象，表明我们可能开始看到形势开始逆转。别屏息以待，但也许可以祈愿，我们会在不算太遥远的未来达到那一步。”

我们只能希望如此。在一次采访中，Kroah-Hartman 没那么乐观。“我们确实在接近，是的，但还没完全到。”他甚至不愿猜测人类批准的 AI 修复何时能赶上并超过 AI 缺陷报告。

另见：我用 Claude Code 锁定了我的 OpenClaw 代理——然后挑战它逃跑

开源 cURL 项目的创造者 Daniel Steinberg 也持谨慎乐观态度。Steinberg 一直特别批评 AI 垃圾缺陷报告，他在接受我采访时表示，他现在相信“到目前为止，我们把洪流管理得相当好，尽管会因具体哪一周谁给我们发来新一批发现而时有起伏。”

不过，尽管目前 AI 缺陷仍是主要头疼问题，AI 缺陷修复加上数千名维护者的工作，可能终于开始遏制 AI 缺陷洪流。我仍然预见前方还有漫长的日夜工作。

我也预计我们会看到更多严重的安全泄露。仅 11 月，我们就看到一个严重的 Linux TCP 网络安全漏洞被披露；棘手的 Alpine Linux OpenSSH 缺陷；Alpine 的 GitLab 险情；以及广泛敞开的 PHP2Shell 安全问题，许多组织仍未修补。

登录评论 退出登录 社区准则 请接受 cookie 以查看由 Disqus 提供支持的评论。