Linux-kernel overspoeld door AI-bugrapporten, reviewers ontbreken

Bugs vinden in de Linux-kernel is tegenwoordig makkelijk. Ze oplossen is een ander verhaal. Volgens ZDNET, dat op 12 november 2026 verslag deed van de situatie, produceren AI-hulpmiddelen inmiddels zoveel bugrapporten en patches dat de mensen die ze moeten beoordelen uitgeput raken, en ten minste één bekende kernel-maintainer is gestopt met het beoordelen van het grootste deel van de code.

Een CVE (Common Vulnerabilities and Exposures) is de openbare aanduiding voor een gedocumenteerd beveiligingslek. Een maintainer is een vrijwilliger of werknemer die een deel van de kernel beheert en beslist welke patches worden opgenomen. Een reviewer leest een voorgestelde patch en controleert of die klopt voordat hij erin gaat. De Linux-kernel, de kern van het besturingssysteem dat draait op alles van smartphones tot supercomputers, hangt af van een klein aantal van deze mensen.

Hoe groot is de stroom bugrapporten voor Linux?

Volgens ZDNET meldde het Linux-CVE-team in 2026 tot en met 2 november gemiddeld 27 CVE's per dag. ZDNET verklaart het volume deels met een kernelspecifieke regel: in Linux kan elke bug mogelijk een beveiligingsbug zijn.

Volgens Tom's Hardware, dat een Phoronix-verslag van 28 augustus overneemt, nadert de kernel 2.000 verholpen CVE's per release, tegenover ongeveer 500 gedurende een groot deel van het Linux 6.x-tijdperk. Een dia van Greg Kroah-Hartman, maintainer van de stabiele kernel, voorbereid voor de conferentie Kernel Recipes 2026, toonde aantallen boven 1.000 bij Linux 7.0 en boven 1.500 bij Linux 7.2. Als de trend doorzet, zou Linux 7.3 boven 2.000 kunnen uitkomen, aldus Tom's Hardware.

Tom's Hardware schrijft de piek vooral toe aan mensen die met AI-hulpmiddelen een broncodeboom doorzoeken die in 35 jaar is gegroeid tot meer dan 40 miljoen regels, en niet aan een plotselinge kwaliteitsdaling van de kernel. Die hulpmiddelen bereiken obscure hoekjes die mensen zelden opnieuw bekijken en vinden af en toe echte gebreken: de Linux-CVE-gegevens van dit jaar vermelden al AI-ondersteunde statische analyse als bron van bevindingen die later door Intel Product Security zijn bevestigd.

Het ZDNET-artikel voegt een cijfer van de bedrijfskant toe. Het FORGE Lab van Microsoft zei dat zijn AI-scansysteem MDASH 59 bugrapporten voor de upstream Linux-kernel opleverde, waaronder een gebrek van minstens 21 jaar oud. Volgens het lab kostte het meer dan vier mensmaanden om die bevindingen om te zetten in rapporten, omdat menselijke inspanning de bottleneck is, en het noemde het vinden en oplossen van bugs drastisch uit balans. Aan de Windows-kant wijst ZDNET erop dat de laatste Patch Tuesday 726 CVE's bevatte, de meeste afkomstig uit door AI gedreven ontdekking.

Waarom raken kernel-maintainers opgebrand?

De druk blijkt uit gevallen met naam en toenaam. Volgens ZDNET stopte op 10 november 2026 ARM-ingenieur en kernel-maintainer Lorenzo Stoakes met het beoordelen van code in de onderdelen geheugenbeheer-kern, misc, reclaim en Rust, die hij als reviewer had gedekt. Hij draagt sinds 2014 bij aan de kernel. Hij schreef dat hij, gezien de huidige doorstroom van door AI gegenereerde patchseries, niet meer de ruimte heeft om algemeen review te bieden, behalve in de gebieden die hij zelf onderhoudt. Hij voegde toe dat door AI gegenereerde rommel eerst af en toe opdook, toen wekelijks, toen om de paar dagen, en nu ongeveer de helft is van wat hij ziet, of meer.

Greg Kroah-Hartman, maintainer van de stabiele kernel, zei hetzelfde in een vragenronde op de Open Source Summit Europe, volgens ZDNET: er zijn niet genoeg mensen om de stortvloed aan door LLM's gegenereerde patches te beoordelen, en de maintainers zijn al tien jaar opgebrand. Zijn verzoek was direct: de kernel heeft meer reviewers nodig.

Tom's Hardware geeft een meetbaar voorbeeld uit het netwerkdomein. In de netwerk-pull-request voor Linux 7.3 schatte maintainer Jakub Kicinski dat tussen een derde en de helft van de 648 in de cyclus behandelde net-next-patches leek op door AI gedreven correcties met lage prioriteit, opruimwerk of verduidelijkingen. Hij schreef dat het team volledig overspoeld is.

De werklast verandert wat de kernel bewaart. Volgens Tom's Hardware stelde ontwikkelaar Andrew Lunn in april voor bijna 28.000 regels oude netwerkcode voor hardware uit het ISA- en PCMCIA-tijdperk te verwijderen, omdat AI- en fuzzing-hulpmiddelen gebreken begonnen te vinden die maintainers zich verplicht voelden te repareren, ook al gebruikt niemand die hardware. Linux 7.3 verwijdert oude SGI- en IBM-stuurprogrammacode, en het bestandssysteemstuurprogramma FreeVxFS werd geschrapt nadat de maintainer had gezegd dat de oude compatibiliteitscode vooral diende als voer voor geautomatiseerde bugcontroles.

Wijst de kernelgemeenschap AI af?

Nee, en Tom's Hardware is hierover duidelijk. Kroah-Hartman zelf heeft lokaal draaiende, door AI ondersteunde fuzzing-hulpmiddelen gebruikt om kernelbugs te vinden. De klacht gaat over ongecontroleerde AI-uitvoer die aan mensen wordt overgedragen om te valideren. Volgens Tom's Hardware verbood hij onlangs door LLM's gegenereerde patches in het staging-subsysteem van de kernel, behalve legitieme beveiligingsfixes, en waarschuwt de bijgewerkte kernelrichtlijn dat door AI gegenereerde rapporten zonder menselijke controle de tijd van maintainers kunnen verspillen. Het team heeft ook toegang gekregen tot meerdere frontiermodellen om patches te beoordelen en gehallucineerde resultaten eruit te filteren.

Beginnen de oplossingen de rapporten in te halen?

Er zijn vroege tekenen, maar niets doorslaggevends. Volgens ZDNET schreef Linus Torvalds in een bericht op de Linux Kernel Mailing List dat veel van de nieuwe code in Linux 7.4-rc2 werd aangedreven door AI-fixes. Hij zei dat aan de BPF-kant de fixes nu sneller binnenkomen dan nieuwe rapporten, dat de meeste andere gebieden dat punt nog niet hebben bereikt, en dat het een teken kan zijn dat het tij keert. Zijn advies: houd je adem niet in.

Kroah-Hartman is minder optimistisch. Hij zei tegen ZDNET dat het project dichterbij komt maar er nog niet is, en hij wilde niet schatten wanneer door mensen goedgekeurde AI-fixes de AI-bugrapporten zullen inhalen. Daniel Stenberg, maker van het cURL-project en uitgesproken criticus van AI-rapporten van lage kwaliteit, zei tegen ZDNET dat hij denkt dat zijn project de stroom tot nu toe redelijk goed beheerst, ook al schommelt het volume afhankelijk van wie in een bepaalde week nieuwe bevindingen instuurt.

• 27 CVE's per dag: het gemiddelde van het Linux-CVE-team tot 2 november 2026, volgens ZDNET.
• Bijna 2.000 CVE's per kernelrelease, tegenover ongeveer 500 in een groot deel van het 6.x-tijdperk, volgens Tom's Hardware.
• Tussen een derde en de helft van 648 netwerkpatches in de cyclus van Linux 7.3 beoordeeld als door AI gedreven werk met lage prioriteit, volgens maintainer Jakub Kicinski.

Wat betekent dit voor een bedrijf?

Voor een Nederlands bedrijf dat Linux draait op servers, in containers, netwerkapparatuur of embedded apparaten is de praktische les dat het aantal beveiligingsadviezen voor de kernel blijft stijgen terwijl de mensen achter elke fix schaars blijven. Een CVE-telling zegt op zichzelf weinig over risico, omdat veel nieuwe items obscure stuurprogramma's betreffen; wat telt is welke ervan de hardware en kernelconfiguratie raken die u daadwerkelijk gebruikt.

Daaruit volgen drie gewoonten. Volg de stabiele kernelreleases die uw distributie levert en verkort de tijd waarin u ze installeert. Houd een overzicht bij van de kernelfuncties en stuurprogramma's die u inschakelt, zodat u adviezen snel kunt beoordelen. En als uw team bugrapporten indient met hulp van AI, laat dan eerst een persoon elk probleem reproduceren, want de richtlijnen van de maintainers zelf zeggen dat ongecontroleerde rapporten hun tijd verspillen. Bedrijven die van Linux afhankelijk zijn, kunnen ook direct helpen door reviewtijd te financieren of bij te dragen, de schaarsste hulpbron volgens Kroah-Hartman.

Een kanttekening: de bronnen zeggen niet wanneer fixes de rapporten zullen inhalen, en Torvalds' observatie over BPF wordt beschreven als bemoedigend maar beperkt tot dat gebied. Zie de huidige periode als een zwaar patchseizoen, niet als een vaststaande trend.