AI狂刷Bug报告 开源维护者被拖垮

开源世界正在被 AI 生成的缺陷报告淹没。据 ZDNET 报道，微软 FORGE 实验室的 AI 扫描系统 MDASH 近期一次性提交了 59 个上游 Linux 内核缺陷报告，其中一处的漏洞至少已经存在了 21 年。

这个数字听起来惊人，放进 Linux 的日常却不算多。2026 年至 11 月 2 日，Linux 的 CVE 团队平均每天报出 27 个 CVE。原因也简单：在 Linux 里，任何 bug 都可能是安全漏洞。Linux 之父林纳斯·托瓦兹 2024 年说过，bug 总会发生，只要有人足够聪明地想到滥用方式，任何 bug 都能变成安全问题。

不只 Linux。Windows 最近一次补丁星期二一次性报了 726 个 CVE。ZDNET 指出，这些报告绝大部分来自 AI 编程工具。找到 bug 已不再是难事，难的是复核和修复——微软的开发者和内核维护者都快跟不上了。

FORGE 实验室自己承认「找 bug 和修 bug 严重失衡」：仅把这些发现整理成报告就花了四个多人月，人力才是瓶颈。

代价落在维护者身上。11 月 10 日，ARM 工程师、Linux 内核维护者洛伦佐·斯托克斯宣布不再做代码评审。他从 2014 年起参与内核，负责内存管理核心、misc、回收和 Rust 相关部分。他写道，考虑到 AI 生成补丁序列带来的吞吐量，除自己维护的领域之外，已没有余力提供评审。「AI 浪潮很糟糕，而且在明显恶化。一开始偶尔看到垃圾提交，后来每周一次，再后来隔几天就有，现在几乎占到我看的一半甚至更多。」

内核稳定版维护者格雷格·克罗亚-哈特曼在开源峰会欧洲站上说，评审人手不够，大模型生成的补丁像洪水涌来，维护者已经疲惫了十年。

也有谨慎的乐观。托瓦兹在 Linux 内核邮件列表里说，Linux 7.4-rc2 里不少新代码是「各种 AI 修复推动的」，至少在 BPF 一侧，修复的速度已经快过新报告的产生。克罗亚-哈特曼却不愿给时间表：「更近了，但还没到。」cURL 创始人丹尼尔·斯滕伯格说，目前还管得住这股洪水。

但代价是真实的。仅 11 月，就出现了 Linux TCP 网络协议栈的严重漏洞、Alpine Linux 的 OpenSSH 缺陷、Alpine GitLab 险情以及仍未普遍修补的 PHP2Shell 问题。当 AI 让发现漏洞的成本趋近于零，开源生态最稀缺的资源，仍然是愿意逐行看代码的人。

编译自 ZDNET，原标题："We need more reviewers: Finding Linux bugs is easy now, fixing them is another story"