Linux Çekirdeği Rekor Kırdı: 2.000 CVE Sınırına Yaklaşırken Bakımcılar 'Tamamen Bunaldık' Diyor

AI, Linux Çekirdeğindeki Güvenlik Açıklarını Artırdı

Linux çekirdeği, yapay zeka destekli güvenlik taramalarının etkisiyle sürüm başına düzeltilen güvenlik açığı sayısında rekor seviyelere ulaşıyor. Tom's Hardware'in haberine göre, Linux 6.x döneminde yaklaşık 500 olan CVE (Ortak Güvenlik Açıkları ve Etkilenmeler) sayısı, Linux 7.0 ile birlikte 1.000'in üzerine çıktı ve Linux 7.2'de 1.500'ü aştı. Mevcut eğilim devam ederse, Linux 7.3'ün bu rakamı 2.000'in üzerine taşıması bekleniyor.

Bu artışın nedeni, Linux çekirdeğinin güvenliğinin kötüleşmesi değil, aksine AI tabanlı araçların 40 milyon satırlık devasa kod tabanını taramak için kullanılmaya başlanması. Bu araçlar, insanların nadiren gözden geçirdiği belirsiz kod bölümlerini inceleyerek gerçek hatalar bulabiliyor. Linux CVE kayıtları, bu yıl AI destekli statik analizlerin, Intel Ürün Güvenliği ekibi tarafından doğrulanan güvenlik açıklarının tespit edilmesinde etkili olduğunu gösteriyor.

Bakımcılar AI Kaynaklı İş Yükünden Şikayetçi

Ancak, bulunan güvenlik açıklarının çoğu düşük öncelikli ve genellikle eski sürücü kodlarında yer alıyor. Ayrıca, AI araçlarının ürettiği bazı raporlar sorgulanabilir kalitede ya da tamamen halüsinasyon ürünü olabiliyor. Bu durum, insan bakımcıların önemli işleri önemsiz olanlardan ayırmak zorunda kalmasına neden oluyor. Linux 7.3 ağ birleştirme isteğinde, bakımcı Jakub Kicinski, işlenen 648 net-next yamasının üçte biri ile yarısı arasında bir kısmının AI kaynaklı düşük öncelikli düzeltmeler, temizlikler veya açıklamalar olduğunu tahmin ettiğini belirtti. Kicinski, "Tamamen bunalmış durumdayız" ifadelerini kullandı.

Bu sorun, Linux bakımcılarının onlarca yıllık sürücülerin korunmaya değer olup olmadığını sorgulamasına yol açtı. Nisan ayında geliştirici Andrew Lunn, eski ISA ve PCMCIA dönemi donanımlarını kapsayan yaklaşık 28.000 satırlık eski ağ kodu parçasının kaldırılmasını önerdi. Bu sürücüler tarihsel olarak az kullanıcıya sahip oldukları için çok az ilgi gerektiriyordu, ancak AI ve fuzzing araçları, kimsenin çalıştırıp çalıştırmadığına bakılmaksızın bakımcıların incelemek ve düzeltmek zorunda olduğu hatalar bulmaya başladı. Linux 7.3, eski SGI ve IBM sürücü kodlarını kaldırıyor ve diğer eski bileşenler de emekliye ayrılıyor. FreeVxFS dosya sistemi sürücüsü, onlarca yıllık uyumluluk kodunun artık otomatik hata denetleyicileri için bir hedef haline geldiği gerekçesiyle kaldırıldı.

AI ile Mücadelede Yeni Stratejiler

Linux topluluğu AI'ı tamamen reddetmiyor. Kroah-Hartman, yerel olarak çalışan AI destekli fuzzing araçlarını kullanarak çekirdek hatalarını başarıyla tespit etti. Ancak asıl sorun, doğrulanmamış AI çıktılarının insanlar tarafından doğrulanmak üzere sunulması. Kroah-Hartman, çekirdeğin hazırlık alt sistemine, meşru güvenlik düzeltmeleri hariç, LLM tarafından üretilen yamaların gönderilmesini yasakladı. Güncellenen çekirdek rehberliği, insan doğrulaması olmadan gönderilen AI raporlarının bakımcıların zamanını boşa harcayabileceği konusunda uyarıyor.

Ekip, AI ile mücadele etmek için giderek daha fazla AI kullanmak zorunda kalıyor. Birden fazla öncü modele erişim sağlayarak yamaları incelemek ve halüsinasyon sonuçlarını filtrelemek için bu modellerden yararlanıyorlar. Ayrıca, sonraki geliştirme döngülerinde daha rutin idari işleri LLM'lere devretmeyi değerlendiriyorlar. Kroah-Hartman'ın Kernel Recipes 2026'da yapacağı sunumda bu konulara daha ayrıntılı değinmesi bekleniyor.