Linux: KI-Fehlerberichte fluten Maintainer, Reviewer fehlen

Fehler im Linux-Kernel zu finden ist inzwischen einfach. Sie zu beheben ist eine andere Sache. Laut ZDNET, das am 12. November 2026 über die Lage berichtete, erzeugen KI-Werkzeuge mittlerweile so viele Fehlerberichte und Patches, dass die Menschen, die sie prüfen müssen, an ihre Grenzen kommen. Mindestens ein bekannter Kernel-Maintainer hat die Prüfung des Großteils des Codes eingestellt.

Eine CVE (Common Vulnerabilities and Exposures) ist die öffentliche Kennung für eine dokumentierte Sicherheitslücke. Ein Maintainer ist eine ehrenamtlich oder angestellt tätige Person, die für einen Teil des Kernels zuständig ist und entscheidet, welche Patches aufgenommen werden. Ein Reviewer liest einen vorgeschlagenen Patch und prüft, ob er korrekt ist, bevor er einfließt. Der Linux-Kernel, der Kern des Betriebssystems, das von Smartphones bis zu Supercomputern läuft, hängt von wenigen solchen Menschen ab.

Wie groß ist die Flut an Linux-Fehlerberichten?

Laut ZDNET meldete das Linux-CVE-Team 2026 bis zum 2. November durchschnittlich 27 CVEs pro Tag. ZDNET erklärt das Volumen teils mit einer kernelspezifischen Regel: Unter Linux kann jeder Fehler potenziell ein Sicherheitsfehler sein.

Laut Tom's Hardware, das einen Phoronix-Bericht vom 28. August aufgreift, nähert sich der Kernel 2.000 behobenen CVEs pro Release, verglichen mit rund 500 in weiten Teilen der Linux-6.x-Ära. Eine Folie von Greg Kroah-Hartman, dem Maintainer des Stable-Kernels, die er für die Konferenz Kernel Recipes 2026 vorbereitet hatte, zeigte Werte über 1.000 mit Linux 7.0 und über 1.500 mit Linux 7.2. Setzt sich der Trend fort, könnte Linux 7.3 über 2.000 liegen, so Tom's Hardware.

Tom's Hardware führt den Anstieg vor allem darauf zurück, dass Menschen mit KI-Werkzeugen einen Quellcodebaum durchkämmen, der in 35 Jahren auf mehr als 40 Millionen Zeilen angewachsen ist, und nicht auf einen plötzlichen Qualitätsverlust des Kernels. Diese Werkzeuge erreichen entlegene Ecken, die Menschen selten erneut ansehen, und finden gelegentlich echte Defekte: Die Linux-CVE-Einträge dieses Jahres nennen bereits KI-gestützte statische Analyse als Quelle von Funden, die später von Intel Product Security bestätigt wurden.

Der ZDNET-Artikel ergänzt eine Zahl von der Unternehmensseite. Das FORGE Lab von Microsoft teilte mit, sein KI-Scansystem MDASH habe 59 Fehlerberichte für den Upstream-Linux-Kernel erzeugt, darunter eine mindestens 21 Jahre alte Schwachstelle. Laut dem Labor dauerte es mehr als vier Personenmonate, diese Funde in Berichte zu überführen, weil menschlicher Aufwand der Engpass sei; das Finden und das Beheben von Fehlern stünden in einem drastischen Missverhältnis. Auf der Windows-Seite verweist ZDNET auf den jüngsten Patch Tuesday mit 726 CVEs, die größtenteils aus KI-gestützter Entdeckung stammen.

Warum brennen Kernel-Maintainer aus?

Die Belastung zeigt sich an namentlich genannten Fällen. Laut ZDNET gab am 10. November 2026 der ARM-Ingenieur und Kernel-Maintainer Lorenzo Stoakes die Code-Prüfung in den Bereichen Speicherverwaltungs-Kern, misc, reclaim und Rust auf, die er als Reviewer betreut hatte. Er trägt seit 2014 zum Kernel bei. Er schrieb, angesichts des aktuellen Durchsatzes an KI-generierten Patch-Serien habe er nicht mehr die Kapazität, generell Reviews anzubieten, außer in den Bereichen, die er selbst betreut. Er fügte hinzu, KI-generierter Ausschuss sei zunächst gelegentlich aufgetaucht, dann wöchentlich, dann alle paar Tage, und mache heute etwa die Hälfte dessen aus, was er sieht, oder mehr.

Greg Kroah-Hartman, Maintainer des Stable-Kernels, sagte laut ZDNET in einer Fragerunde auf dem Open Source Summit Europe dasselbe: Es gebe nicht genug Leute, um die Flut LLM-generierter Patches zu prüfen, und die Maintainer seien seit zehn Jahren ausgebrannt. Seine Bitte war direkt: Der Kernel braucht mehr Reviewer.

Tom's Hardware nennt ein messbares Beispiel aus dem Netzwerkbereich. In der Netzwerk-Pull-Request für Linux 7.3 schätzte Maintainer Jakub Kicinski, dass zwischen einem Drittel und der Hälfte der 648 im Zyklus bearbeiteten net-next-Patches wie KI-getriebene Korrekturen mit niedriger Priorität, Aufräumarbeiten oder Klarstellungen aussahen. Er schrieb, das Team sei völlig überfordert.

Die Arbeitslast verändert, was der Kernel behält. Laut Tom's Hardware schlug der Entwickler Andrew Lunn im April vor, fast 28.000 Zeilen alten Netzwerkcodes für Hardware aus der ISA- und PCMCIA-Zeit zu entfernen, weil KI- und Fuzzing-Werkzeuge begannen, Defekte zu finden, die Maintainer glaubten beheben zu müssen, auch wenn niemand die Hardware betreibt. Linux 7.3 entfernt alten SGI- und IBM-Treibercode, und der Dateisystemtreiber FreeVxFS wurde gestrichen, nachdem sein Maintainer gesagt hatte, der alte Kompatibilitätscode diene vor allem als Futter für automatische Fehlerprüfer.

Lehnt die Kernel-Community KI ab?

Nein, und Tom's Hardware ist dazu eindeutig. Kroah-Hartman selbst hat lokal laufende, KI-gestützte Fuzzing-Werkzeuge genutzt, um Kernel-Fehler aufzuspüren. Die Kritik richtet sich gegen ungeprüfte KI-Ausgaben, die Menschen zur Validierung zugeschoben werden. Laut Tom's Hardware untersagte er kürzlich LLM-generierte Patches im Staging-Subsystem des Kernels, außer bei legitimen Sicherheitskorrekturen, und die aktualisierten Kernel-Richtlinien warnen, dass KI-generierte Berichte ohne menschliche Prüfung die Zeit der Maintainer verschwenden können. Das Team hat außerdem Zugang zu mehreren Frontier-Modellen erhalten, um Patches zu prüfen und halluzinierte Ergebnisse herauszufiltern.

Holen die Korrekturen die Berichte allmählich ein?

Es gibt erste Anzeichen, aber nichts Eindeutiges. Laut ZDNET schrieb Linus Torvalds in einer Nachricht auf der Linux Kernel Mailing List, ein großer Teil des neuen Codes in Linux 7.4-rc2 sei durch KI-Korrekturen getrieben. Zumindest auf der BPF-Seite kämen die Korrekturen inzwischen schneller als neue Berichte, die meisten anderen Bereiche seien noch nicht so weit, und es könne ein Zeichen sein, dass sich das Blatt wendet. Sein Rat: nicht den Atem anhalten.

Kroah-Hartman ist weniger optimistisch. Er sagte ZDNET, das Projekt komme näher, sei aber noch nicht da, und er wollte nicht schätzen, wann von Menschen freigegebene KI-Korrekturen die KI-Fehlerberichte überholen. Daniel Stenberg, Schöpfer des cURL-Projekts und scharfer Kritiker minderwertiger KI-Berichte, sagte ZDNET, er glaube, sein Projekt bewältige die Flut bislang recht gut, auch wenn das Volumen je nachdem schwanke, wer in einer Woche neue Funde einreiche.

• 27 CVEs pro Tag: der Durchschnitt des Linux-CVE-Teams bis zum 2. November 2026, laut ZDNET.
• Fast 2.000 CVEs pro Kernel-Release, gegenüber rund 500 in weiten Teilen der 6.x-Ära, laut Tom's Hardware.
• Zwischen einem Drittel und der Hälfte von 648 Netzwerk-Patches im Zyklus von Linux 7.3 als KI-getriebene Arbeit mit niedriger Priorität eingestuft, laut Maintainer Jakub Kicinski.

Was ändert das für ein Unternehmen?

Für ein deutsches Unternehmen, das Linux auf Servern, in Containern, Netzwerkgeräten oder eingebetteten Geräten betreibt, lautet die praktische Lehre: Die Zahl der Kernel-Sicherheitshinweise wird weiter steigen, während die Menschen hinter jeder Korrektur knapp bleiben. Eine CVE-Zahl allein sagt wenig über das Risiko aus, da viele neue Einträge entlegene Treiber betreffen; entscheidend ist, welche davon die Hardware und die Kernel-Konfiguration betreffen, die Sie tatsächlich einsetzen.

Daraus ergeben sich drei Gewohnheiten. Verfolgen Sie die Stable-Kernel-Releases Ihrer Distribution und verkürzen Sie die Zeit bis zu deren Einspielung. Führen Sie eine Übersicht der aktivierten Kernel-Funktionen und Treiber, damit Sie Hinweise schnell einordnen können. Und wenn Ihr Team Fehlerberichte mit KI-Unterstützung einreicht, lassen Sie zuerst eine Person jedes Problem nachstellen, denn die Richtlinien der Maintainer selbst sagen, dass ungeprüfte Berichte deren Zeit verschwenden. Unternehmen, die von Linux abhängen, können auch direkt helfen, indem sie Reviewzeit finanzieren oder beisteuern, die laut Kroah-Hartman knappste Ressource.

Ein Vorbehalt: Die Quellen sagen nicht, wann Korrekturen die Berichte überholen werden, und Torvalds' Beobachtung zu BPF wird als ermutigend, aber auf diesen Bereich beschränkt beschrieben. Die aktuelle Phase sollte man als schwere Patch-Saison betrachten, nicht als gefestigten Trend.