O número de vulnerabilidades com CVE (Common Vulnerability Event Code) atribuídas e corrigidas em cada versão do kernel Linux está se aproximando de 2.000, um aumento acentuado em relação às cerca de 500 CVEs durante a maior parte do ciclo de vida do Linux 6.x. Esses dados foram compartilhados por Greg Kroah-Hartman, um dos mantenedores da ramificação estável do Linux, antes da conferência Kernel Recipes 2026.
De acordo com um gráfico publicado pelo Phoronix, esse número ultrapassou 1.000 desde o Linux 7.0 e mais de 1.500 no Linux 7.2. Se a tendência atual continuar, o Linux 7.3 poderá se tornar a primeira versão a ultrapassar 2.000 CVEs.
No entanto, um aumento no número de CVEs não significa necessariamente que o Linux seja subitamente menos seguro ou que cada atualização esteja criando milhares de novos bugs. Grande parte do problema já existia no código-fonte, mas só foi descoberta quando ferramentas de análise automatizadas e modelos de IA começaram a examinar o sistema em larga escala.
A inteligência artificial analisou 40 milhões de linhas de código-fonte
Após 35 anos de desenvolvimento, o kernel do Linux ultrapassou 40 milhões de linhas de código. Além dos componentes essenciais usados em servidores, smartphones e computadores pessoais, este repositório de código também contém muitos drivers para hardware mais antigo ou raramente usado.
Este é um ambiente adequado para ferramentas de IA. Elas conseguem ler grandes trechos de código que raramente são verificados por humanos, encontrar anomalias e sugerir correções muito mais rapidamente do que os métodos manuais.
Alguns dos resultados tiveram valor prático. Os registros do CVE deste ano documentaram vulnerabilidades encontradas usando análise estática assistida por IA, que foram posteriormente confirmadas pela equipe de segurança de produtos da Intel. Greg Kroah-Hartman também usou ferramentas de fuzzing com IA executadas localmente para encontrar vulnerabilidades no kernel.
O problema é que nem todas as descobertas são sérias ou mesmo precisas. A IA pode reportar um pequeno bug em um driver que quase nunca é usado, enviar patches não testados ou “imaginar” um problema que não existe. As máquinas levam apenas alguns minutos para gerar um relatório, mas os humanos ainda precisam ler o código, reproduzir o erro, avaliar o impacto e verificar se a correção afeta outros componentes.
“Estamos completamente sobrecarregados”
Essa pressão ficou evidente durante a preparação do Linux 7.3. No branch net-next, o mantenedor Jakub Kicinski estimou que entre um terço e metade dos 648 patches do ciclo envolviam correções de bugs de baixa prioridade, trabalhos de limpeza ou ajustes orientados por IA.
Diante do aumento repentino de patches e relatórios de bugs, Kicinski admitiu que a equipe de rede Linux estava “completamente sobrecarregada”. A equipe do Linux, portanto, não só precisa corrigir bugs, como também filtrar um grande volume de relatórios de qualidade inconsistente. Um bug crítico em um componente usado por milhões de dispositivos pode estar lado a lado com dezenas de problemas menores em drivers de hardware que desapareceram do mercado há anos.
Essa situação também levou a comunidade a questionar a compatibilidade contínua com equipamentos obsoletos. Em abril, o desenvolvedor Andrew Lunn propôs a remoção de quase 28.000 linhas de código de rede destinadas a hardware da era ISA e PCMCIA.
Anteriormente, esses drivers praticamente não geravam trabalho adicional, pois poucas pessoas os utilizavam. Quando a IA e as ferramentas de fuzzing começaram a analisar cada trecho de código, erros passaram a surgir constantemente, e os responsáveis pela manutenção ainda precisavam dedicar tempo à investigação deles.
O Linux 7.3 está removendo alguns códigos antigos de drivers da SGI e da IBM. O FreeVxFS, driver de um sistema de arquivos consagrado, também foi removido depois que os responsáveis pela manutenção determinaram que ele era usado principalmente por ferramentas de depuração automatizadas.
O Linux não está virando as costas para a IA.
A comunidade Linux não tem a intenção de rejeitar completamente o código ou os relatórios gerados por IA. A principal controvérsia gira em torno dos usuários que enviam diretamente resultados não verificados aos mantenedores, transformando-os efetivamente em uma ferramenta de validação gratuita para as máquinas.
Kroah-Hartman restringiu os patches gerados pelo modelo de linguagem à área de preparação do kernel, excluindo apenas patches de segurança válidos. As diretrizes de contribuição também alertavam que relatórios de IA não verificados poderiam desperdiçar todo o tempo do projeto.
Ironicamente, as equipes do Linux podem ter que usar a própria IA para lidar com o enorme volume de conteúdo gerado por IA. Os desenvolvedores receberam acesso a diversos modelos avançados para auxiliar na avaliação de patches, detecção de resultados falsos e execução de tarefas administrativas repetitivas.
A IA está claramente ajudando o Linux a encontrar mais bugs. No entanto, até que as máquinas possam provar sua capacidade de detectar e implementar correções, o maior obstáculo continua sendo o número de humanos com experiência suficiente para testar tudo o que a IA lhes envia.
Você também deve ler!
Homem transforma TV Box antiga em servidor Linux e diz: “a temperatura não passa de 50 °C”
IA força Linux a abandonar suporte a hardwares antigos para poupar desenvolvedores
Como começou a migração do Hardware.com.br e GameVicio para a nuvem com a Skyone
