چرا شکار باگ با هوش مصنوعی امنیت لینوکس را غیرقابل‌مدیریت کرد؟

تصور کنید تمام ساعات کاری خود را صرف پاک کردن گزارش‌های تکراری کنید. این دقیقاً وضعیتی است که تیم هسته لینوکس (Linux) با آن دست‌وپنجه نرم می‌کند.

امروزه هوش مصنوعی زاینده (Generative AI) — شبیه دستیاری است که می‌تواند در یک ثانیه میلیون‌ها صفحه متن را بخواند و غلط‌های املایی را پیدا کند، اما نمی‌داند چطور جمله را بازنویسی کند — شکار نقاط ضعف کد را برای همه آسان کرده است. این موضوع در ظاهر یک پیروزی برای امنیت است، اما در واقعیت یک گلوگاه اداری عظیم ایجاد کرده است. کسانی که واقعاً کدها را اصلاح می‌کنند، اکنون در میان انبوهی از نویز غرق شده‌اند.

همان‌طور که در تحلیل‌های پیشین ما درباره‌ی چالش‌های مدل‌های بازمتن اشاره کردیم، افزایش حجم داده‌ها همیشه به معنای افزایش کیفیت نیست. در ۱۸ مه ۲۰۲۶، لینوس توروالدز اعلام کرد که لیست پستی امنیتی پروژه «تقریباً غیرقابل‌مدیریت» شده است. به نقل از توروالدز، پژوهشگران متعددی از ابزارهای مشابه برای یافتن باگ‌های یکسان استفاده می‌کنند. این اتفاق منجر به سیل گزارش‌های تکراری شده که او آن را «چرخش بی‌هدف» می‌نامد.

طبق گزارش‌های منتشر شده، توروالدز معتقد است باگ‌های شناسایی‌شده توسط هوش مصنوعی ذاتاً محرمانه نیستند. بنابراین، بررسی آن‌ها در لیست‌های خصوصی اتلاف وقت است و فقط باعث می‌شود گزارشگران نتوانند کارهای یکدیگر را ببینند و دوباره همان باگ را گزارش کنند. او تأکید می‌کند که پژوهشگران نباید «گزارشگران گذرا» باشند که بدون درک عمیق، گزارش‌های تصادفی می‌فرستند. در عوض، آن‌ها باید مستندات را بخوانند و یک وصله (Patch) — شبیه تکه پارچه‌ای که خیاط برای بستن سوراخ لباس به کار می‌برد — ارائه دهند تا ارزش افزوده‌ای به کار هوش مصنوعی اضافه کنند. این دیدگاه با نظر گرگ کروا-هارتمن متفاوت است؛ او اخیراً به گزارش The Register گفته است که هوش مصنوعی ابزاری به‌شدت مفید برای جامعه‌ی نرم‌افزارهای متن‌باز است.

این تضاد، شکاف بزرگی را در توانایی‌های فعلی AI نشان می‌دهد. هوش مصنوعی می‌تواند نقص را شناسایی کند، اما هنوز نمی‌تواند هماهنگی انسانی مورد نیاز برای رفع آن را مدیریت کند. برای توسعه‌دهندگان، تعریف «ارزش افزوده» تغییر کرده است. صرفاً یافتن یک باگ دیگر سودی ندارد؛ جایزه واقعی متعلق به مهندسی است که برای حل مشکل به کار می‌رود. این مورد، نمونه‌ای کلاسیک از افزایش حجم کار بدون افزایش نرخ حل مسئله است.

گام بعدی شما

• اگر پژوهشگر امنیت هستید، به جای ارسال گزارش تک‌خطی، روی ارائه کد اصلاحی تمرکز کنید.
• بررسی کنید آیا پروژه‌های متن‌باز دیگر نیز قوانین سخت‌گیرانه‌تری برای فیلتر کردن نویزهای AI وضع کرده‌اند یا خیر.
• دنبال کنید که آیا مدل‌های استدلالی جدید می‌توانند فرآیند تولید وصله را خودکار کنند تا استانداردهای توروالدز را پاس کنند.

اما داستان سخت‌افزاری این تحول حتی شگفت‌انگیزتر است — به تحلیل ما درباره‌ی تراشه‌های Blackwell مراجعه کنید.