林纳斯·托瓦兹（Linus Torvalds）近日宣布发布Linux 7.1的第四个候选版本（7.1-rc4），同时罕见地对当前充斥在安全渠道中的AI生成漏洞报告发出严厉警告，称这些报告正让Linux内核安全团队濒临“失控”。
M!Hn`_E 
d@u)'AY%/ 托瓦兹指出，AI工具本身并非问题，关键在于它们是否真正起到帮助作用。当前的情况是，大量开发者用同一类AI工具扫描内核代码，发现相同或类似的问题后，纷纷以“驱动路人”的方式将报告转发给安全邮件列表或他们认为能修复问题的人，导致相同或早已修复的漏洞被反复报告，严重浪费了维护者的时间和精力。
=!pfgE g~#HiBgWq[ 他强调，自己并不是在劝阻开发者在Linux开发中使用AI工具，相反，他承认AI在代码分析方面的潜力。但他明确表示，如果开发者确实通过AI工具发现了内核中的问题，那么很有可能已经有其他人发现并报告过了，因此简单转发一份“机器吐出来的报告”并不构成真正的贡献。
6%nKrK (Z{&[h 在托瓦兹看来，真正“有价值”的做法，是在使用AI工具发现疑似问题后，先认真阅读相关文档，理解问题的来龙去脈，然后提交一个附带补丁的完整修复方案。他直言不讳地表示，内核维护者并不需要那些缺乏理解、只会抄送随机报告的“路过贡献者”，而是需要真正愿意负责任地推进修复工作的开发者。
XC NM kl&9M!;:n 谈到目前安全邮件列表的状况时，托瓦兹用“几乎无法管理”来形容。他指出，AI工具生成的报告形成了“持续的洪流”，大量重复内容挤满了安全列表。不同的人用同样的工具找到同样的问题，维护者不得不花大量时间把报告转发给合适的维护者，或者反复回复“这个问题在一周前/一个月前已经修复”，并附上公开讨论的链接。
Gs7#W :e7 LEJ8 .z6$ 在这番严厉批评之外，托瓦兹也提到，从其他角度看，本周内核开发节奏总体仍算正常。就7.1-rc4的补丁构成而言，驱动相关变更约占总数的一半，其中GPU驱动更新最为突出；其他改动则主要集中在网络子系统、核心内核、文件系统以及不同架构相关的更新上，整体走向与往常的开发周期相似。
= ^L?Sgg n@"h^- 托瓦兹的这一公开表态凸显了当前AI浪潮对开源软件开发流程带来的新挑战。一方面，AI工具有助于更快地发现潜在缺陷；另一方面，缺乏筛选和责任意识的大量“自动化举报”，正在挤占维护者有限的精力，使安全渠道从“早期预警系统”变成“噪音源”。有观察认为，即便托瓦兹已经发出明确请求，依然会有不少人忽视这一警告，继续以“复制粘贴报告”的方式参与所谓的安全贡献。
aLKvl~s;m ~ R:=zGDV 未来，Linux内核社区将如何在鼓励使用新工具、提升代码质量，与避免安全渠道被重复、低质量报告淹没之间找到平衡，将成为开源生态必须正视的问题。目前来看，托瓦兹最在意的，是让真正负责的开发者继续高效推进修复工作，而不是被无穷无尽的AI报告拖入“文书地狱”。
K;fRDE) {
微博帐号登录