AI quét sạch 40 triệu dòng mã Linux, tìm lỗi nhanh đến mức lập trình viên 'hụt hơi'

Các công cụ AI đang lục lại những góc khuất ít người để ý trong hơn 40 triệu dòng mã nguồn Linux. Kết quả mang lại vượt ngoài dự kiến, nhưng cũng tạo ra một khối lượng công việc khổng lồ cho những người đứng sau hệ điều hành này.

Số lỗ hổng được gán mã CVE (hệ thống định danh chung dành cho các lỗ hổng bảo mật đã được công bố) và xử lý trong mỗi phiên bản nhân Linux đang tiến gần mốc 2.000, tăng mạnh so với khoảng 500 CVE trong phần lớn vòng đời Linux 6.x. Dữ liệu này được Greg Kroah-Hartman, một trong những người duy trì nhánh Linux ổn định, chia sẻ trước thềm hội nghị Kernel Recipes 2026.

Theo biểu đồ được Phoronix đăng tải, con số này đã vượt 1.000 từ phiên bản Linux 7.0 và trên 1.500 ở Linux 7.2. Nếu xu hướng hiện tại tiếp diễn, Linux 7.3 có thể trở thành phiên bản đầu tiên vượt ngưỡng 2.000 CVE.

Tuy nhiên, số lượng CVE tăng không đồng nghĩa với việc Linux đột nhiên kém an toàn hơn hoặc mỗi bản cập nhật đang tạo ra hàng nghìn lỗi mới. Phần lớn các vấn đề đã tồn tại trong mã nguồn từ trước nhưng chỉ được phát hiện khi các công cụ phân tích tự động và mô hình AI bắt đầu rà soát hệ thống ở quy mô lớn.

Biểu đồ do Greg Kroah-Hartman chia sẻ cho thấy số CVE được xử lý trong mỗi phiên bản Linux tăng mạnh từ dòng 7.x, tiến gần mốc 2.000 ở Linux 7.2. Ảnh: Greg K-H.

AI lục lại 40 triệu dòng mã nguồn

Sau 35 năm phát triển, nhân Linux đã vượt mốc 40 triệu dòng mã. Bên cạnh những thành phần quan trọng được sử dụng trên máy chủ, smartphone và máy tính cá nhân, kho mã này còn chứa nhiều trình điều khiển dành cho phần cứng cũ hoặc rất ít người sử dụng.

Đây là môi trường phù hợp cho các công cụ AI. Chúng có thể đọc hàng loạt đoạn mã ít được con người kiểm tra, tìm những trường hợp bất thường và đề xuất bản vá với tốc độ cao hơn nhiều so với cách làm thủ công.

Một số kết quả đã mang lại giá trị thực tế. Các bản ghi CVE trong năm nay từng ghi nhận lỗi được tìm thấy bằng phương pháp phân tích tĩnh có hỗ trợ AI, sau đó được nhóm bảo mật sản phẩm của Intel xác nhận. Greg Kroah-Hartman cũng đã sử dụng những công cụ fuzzing (phần mềm tự động đưa dữ liệu bất thường vào chương trình để tìm lỗi) hỗ trợ AI chạy cục bộ để tìm lỗi trong kernel.

Vấn đề nằm ở chỗ không phải phát hiện nào cũng nghiêm trọng hoặc thậm chí chính xác. AI có thể báo cáo một lỗi nhỏ nằm trong trình điều khiển gần như không còn người sử dụng, gửi bản vá chưa được kiểm tra đầy đủ hoặc “tưởng tượng” ra những vấn đề không tồn tại.

Máy móc chỉ mất vài phút để tạo báo cáo, nhưng con người vẫn phải đọc mã, tái hiện lỗi, đánh giá mức độ ảnh hưởng và kiểm tra xem bản vá có làm hỏng thành phần khác hay không.

“Chúng tôi hoàn toàn quá tải”

Áp lực này thể hiện rõ trong quá trình chuẩn bị Linux 7.3. Ở nhánh mạng net-next, người duy trì Jakub Kicinski ước tính từ một phần ba đến một nửa trong số 648 bản vá của chu kỳ có liên quan đến những lỗi ưu tiên thấp, công việc dọn dẹp hoặc chỉnh sửa do AI thúc đẩy.

Trước số lượng bản vá và báo cáo lỗi tăng đột biến, Kicinski thừa nhận nhóm phụ trách mạng của Linux đang rơi vào tình trạng “hoàn toàn quá tải”.

Trong thư gửi Linus Torvalds, Jakub Kicinski thừa nhận nhóm phụ trách mạng của Linux đang “hoàn toàn quá tải” trước lượng lớn bản vá liên quan đến AI. Ảnh: Linux Kernel Mailing List.

Đội ngũ Linux vì vậy không chỉ phải sửa lỗi mà còn phải lọc một lượng lớn báo cáo có chất lượng không đồng đều. Một lỗi nghiêm trọng trong thành phần được hàng triệu thiết bị sử dụng có thể phải xếp hàng cùng hàng chục vấn đề nhỏ trong những trình điều khiển dành cho phần cứng đã biến mất khỏi thị trường nhiều năm.

Tình trạng này cũng khiến cộng đồng đặt câu hỏi về việc tiếp tục duy trì khả năng tương thích với thiết bị quá cũ. Hồi tháng 4, nhà phát triển Andrew Lunn đề xuất loại bỏ gần 28.000 dòng mã mạng dành cho phần cứng thời ISA và PCMCIA.

Trước đây, những trình điều khiển này gần như không tạo thêm công việc vì có rất ít người sử dụng. Khi AI và công cụ fuzzing bắt đầu soi từng đoạn mã, các lỗi liên tục xuất hiện và người duy trì vẫn phải dành thời gian điều tra.

Linux 7.3 đang loại bỏ một số mã trình điều khiển cũ của SGI và IBM. FreeVxFS, trình điều khiển cho một hệ thống tệp lâu đời, cũng đã bị gỡ bỏ sau khi người duy trì nhận định nó chủ yếu trở thành mục tiêu cho các công cụ dò lỗi tự động.

Linux không quay lưng với AI

Cộng đồng Linux không có ý định từ chối hoàn toàn mã hoặc báo cáo do AI hỗ trợ. Tranh cãi chủ yếu xoay quanh việc người dùng chuyển thẳng kết quả chưa được xác minh cho những người duy trì, biến họ thành bộ phận kiểm định miễn phí cho máy móc.

Kroah-Hartman đã hạn chế các bản vá do mô hình ngôn ngữ tạo ra trong khu vực staging của kernel, ngoại trừ những bản vá bảo mật hợp lệ. Hướng dẫn đóng góp cũng cảnh báo rằng báo cáo AI chưa được con người kiểm chứng có thể làm lãng phí thời gian của toàn bộ dự án.

Trớ trêu là đội ngũ Linux có thể phải dùng chính AI để đối phó với lượng nội dung do AI tạo ra. Các nhà phát triển đã được tiếp cận một số mô hình tiên tiến nhằm hỗ trợ đánh giá bản vá, phát hiện kết quả bịa đặt và xử lý những công việc hành chính lặp lại.

AI rõ ràng đang giúp Linux tìm thấy nhiều lỗi hơn. Tuy nhiên, cho đến khi máy móc có thể tự chứng minh phát hiện và chịu trách nhiệm về bản vá, nút thắt lớn nhất vẫn là số lượng con người đủ kinh nghiệm để kiểm tra mọi thứ mà AI gửi tới.

OpenAI ra mắt GPT-6 Astra: "Kỷ nguyên AGI" đã bắt đầu, AI đã có thể tự làm việc thay con người