Linus Torvalds: AI bug reports are making security unmanageable

•Linus Torvalds 在其每週的「核心狀態」貼文中發表了這些評論，同時宣布了 Linux 7.1 的第四個發布候選版本，這表明了 AI 報告問題的嚴重性已達到需要公開討論的程度。
•Torvalds 澄清，AI 檢測到的錯誤通常不是秘密，因為相同的工具對所有人開放，這使得在私人安全清單上討論這些問題毫無意義，並加劇了重複報告的問題。
•Linux 專案已更新其安全文件，為 AI 輔助的發現應如何處理提供了更明確的指南，強調大多數 AI 檢測到的問題應公開討論，並要求貢獻者提供補丁而不僅僅是報告。
•此問題凸顯了開源專案在有效整合 AI 輔助安全研究而不使維護者不堪重負方面的廣泛挑戰，其他專案如 Curl 也因「AI 垃圾」而關閉了其錯誤賞金計畫。
•儘管 Torvalds 批評了當前的濫用情況，但他並未完全拒絕 AI 工具，而是鼓勵開發者透過理解問題、創建補丁並在 AI 提供的基礎上增加實際價值來富有成效地使用它們。

AI 驅動的錯誤檢測利用機器學習 (ML) 和自然語言處理 (NLP) 來分析程式碼模式、歷史數據和上下文資訊，以識別異常並提出修復建議。
這些工具可以執行自動錯誤檢測、預測易受攻擊的區域，甚至自主生成和實施程式碼補丁。
正在出現的上下文感知 AI 工具旨在理解整個程式碼庫的上下文，而不僅僅是單個文件，以發現架構問題並減少誤報。
一些 AI 測試工具提供諸如自我修復測試腳本（當程式碼或 UI 更改時自動更新測試）、預測分析（標記高風險程式碼更改）和視覺更改檢測等功能。
然而，AI 生成的程式碼通常會引入更多錯誤（比人類多 1.7 倍，其中關鍵和主要問題多 1.3-1.7 倍），特別是在邏輯、正確性和可讀性方面，並可能導致程式碼重複增加。
Google 的 Sashiko 是一個 AI 系統，用於審查提交到 Linux 核心郵件列表的每個補丁，發現了人類遺漏的錯誤，但它不生成補丁或提交程式碼，而是專注於分析和提供反饋。

開源專案將實施更嚴格的 AI 提交政策和驗證機制。

為了應對 AI 生成報告的湧入和低品質提交，專案將被迫制定更明確的指南和工具來篩選和驗證 AI 輔助的貢獻。

AI 工具的開發將轉向更注重上下文理解和補丁生成，而非僅僅是錯誤報告。

Torvalds 的批評促使開發者將 AI 用於提供實際價值，例如生成經過驗證的補丁，而不是僅僅識別問題。

人類維護者在開源軟體安全中的角色將從錯誤發現轉向更複雜的驗證、修復和架構監督。

隨著 AI 承擔重複的錯誤檢測任務，人類將需要專注於 AI 難以處理的細微差別、複雜的系統理解和高層次決策。

2024-12

Python 軟體基金會的安全開發者 Seth Larson 警告 AI 生成的低品質錯誤報告激增。

2025-03

GitClear 報告稱，2024 年 AI 編碼工具導致重複程式碼塊增加了 8 倍，冗餘程度比 2022 年高出 10 倍。

2025-11

Linus Torvalds 在首爾的開源峰會上表示，AI 用於需要長期維護的嚴肅專案可能是個「糟糕的主意」。

2026-01

Linus Torvalds 在其個人專案 AudioNoise 中承認 AI 編寫的程式碼比他自己寫得更好，但強調 AI 應作為工具而非替代品。

2026-03

Linux 核心維護者 Greg Kroah-Hartman 公開認可 Google 的 Sashiko，這是一個 AI 系統，用於審查提交到核心郵件列表的每個補丁。

2026-05

Linus Torvalds 宣布 Linux 7.1-rc4，並指出 AI 錯誤報告的持續湧入使安全清單幾乎無法管理，促使 Linux 核心合併了新的文件，澄清了 AI 輔助報告的處理方式。

Linus Torvalds：AI 錯誤報告導致安全清單難以管理