Линус Торвальдс заявил о проблемах с безопасностью ядра Linux из-за наплыва ИИ-отчетов

Создатель ядра Linux Линус Торвальдс выступил с критикой массовой автоматизированной рассылки сообщений об ошибках, созданных с помощью инструментов искусственного интеллекта. По его словам, поток однотипных уведомлений сделал работу списка рассылки по безопасности практически невыполнимой из-за огромного количества дубликатов.

Кризис обработки отчетов

Основная проблема заключается в том, что пользователи массово отправляют отчеты, не предлагая при этом исправлений для обнаруженных уязвимостей. Использование одних и тех же автоматизированных инструментов приводит к тому, что разработчики ядра получают десятки идентичных писем об одной и той же проблеме.

• ИИ-отчеты часто дублируют друг друга, создавая ненужную нагрузку на команду сопровождения.
• Торвальдс подчеркнул, что подобные сообщения по своей сути не могут считаться секретными, поэтому их обработка в закрытом режиме является неэффективной тратой времени.
• Изоляция авторов таких отчетов друг от друга в рамках закрытого списка только усугубляет ситуацию с повторами.

Требования к качеству данных

Разработчикам, использующим нейросети для поиска уязвимостей, предложено пересмотреть свой подход. Вместо генерации «бессмысленного шума» Торвальдс рекомендует сфокусироваться на создании патчей, которые устраняют проблему, а не просто констатируют её наличие.

Аналогичную позицию занимает старший инженер по безопасности продуктов GitHub*, Джаром Браун. Эксперт отмечает, что использование ИИ допустимо только при условии тщательной проверки результатов:

• Отчет, созданный с помощью ИИ, должен быть верифицирован, воспроизведен и подкреплен доказательством концепции (proof of concept).
• Непроверенные данные, представленные без понимания реального влияния на систему, не несут ценности.
• Приоритет количества над качеством в поиске уязвимостей снижает репутацию исследователя.

Специалисты сходятся во мнении, что одно глубокое, детально проработанное исследование стоит гораздо больше, чем десятки спекулятивных сообщений, сгенерированных машинным способом.

* — деятельность компании запрещена на территории РФ