O número de vulnerabilidades com CVE atribuídas e corrigidas em cada versão do kernel Linux se aproxima de 2.000, ante cerca de 500 durante a maior parte do ciclo de vida do Linux 6.x. Os dados foram compartilhados por Greg Kroah-Hartman, mantenedor da ramificação estável do projeto, antes da conferência Kernel Recipes 2026.
A quantidade passou de 1.000 a partir do Linux 7.0 e superou 1.500 no Linux 7.2. Mantida a tendência, o Linux 7.3 poderá ser a primeira versão a ultrapassar 2.000 CVEs.
Esse avanço não significa necessariamente que o sistema tenha se tornado menos seguro. Parte das falhas já estava no código-fonte e foi identificada apenas quando ferramentas automatizadas e modelos de inteligência artificial passaram a examinar o kernel em escala maior.
Mais código analisado, mais relatórios para validar
Depois de 35 anos de desenvolvimento, o kernel Linux ultrapassou 40 milhões de linhas de código. O conjunto inclui componentes usados em servidores, smartphones e computadores pessoais, além de drivers para equipamentos antigos ou pouco utilizados.
Ferramentas de IA conseguem examinar grandes trechos de código que raramente são revisados por pessoas, apontar anomalias e sugerir correções em menos tempo. Registros de CVE deste ano documentaram vulnerabilidades encontradas por análise estática com auxílio de IA e confirmadas posteriormente pela equipe de segurança de produtos da Intel. Kroah-Hartman também recorreu a ferramentas de fuzzing com IA executadas localmente para encontrar falhas no kernel.
Os resultados, porém, exigem verificação. A tecnologia pode apontar problemas pequenos em drivers pouco usados, enviar patches não testados ou indicar falhas inexistentes. Cabe aos desenvolvedores ler o código, reproduzir o erro, avaliar seu impacto e verificar se a correção afeta outros componentes.
Durante a preparação do Linux 7.3, Jakub Kicinski estimou que entre um terço e metade dos 648 patches do ciclo tratava de correções de baixa prioridade, limpeza de código ou ajustes orientados por IA. Diante do volume de relatórios e patches, ele afirmou que a equipe de rede Linux estava “completamente sobrecarregada”.
Código antigo e regras para contribuições
A sobrecarga reacendeu o debate sobre a manutenção de equipamentos obsoletos. Em abril, Andrew Lunn propôs remover quase 28.000 linhas de código de rede destinadas a hardware da era ISA e PCMCIA.
O Linux 7.3 também está retirando códigos antigos de drivers da SGI e da IBM. O FreeVxFS, driver de um sistema de arquivos, foi removido depois que os mantenedores concluíram que ele era usado principalmente por ferramentas automatizadas de depuração.
A comunidade não pretende rejeitar integralmente códigos ou relatórios produzidos por IA. A principal preocupação é o envio direto de resultados não verificados aos mantenedores, que passam a ter de validar o material recebido.
Kroah-Hartman limitou patches gerados por modelos de linguagem à área de preparação do kernel, com exceção de patches de segurança válidos. As diretrizes de contribuição também alertaram que relatórios de IA sem verificação poderiam consumir o tempo do projeto.
Desenvolvedores receberam acesso a modelos avançados para ajudar a avaliar patches, identificar resultados falsos e executar tarefas administrativas repetitivas. A IA amplia a capacidade de localizar bugs, mas a análise, os testes e a implementação das correções continuam dependentes de pessoas com experiência suficiente para avaliar o material produzido.
