요약:
Linux 커널의 각 버전에서 수정된 CVE 취약점의 수가 급격히 증가하고 있으며 Linux 7.3부터 2,000개를 초과할 수 있습니다. 리눅스 6.x 시절 약 500개 정도의 취약점을 장기간 유지보수했던 것과 비교하면 이 숫자는 리눅스 7.0에서는 1,000개, 리눅스 7.2에서는 1,500개를 넘었다.
관리자는 취약점 수가 급증한다고 해서 반드시 Linux 자체가 더 안전하지 않다는 의미는 아니라고 지적했습니다. 주된 이유는 인공 지능과 대규모 언어 모델이 Linux 커널 코드를 대규모로 스캔하기 시작했기 때문입니다. 35년간의 개발 끝에 Linux 프로젝트는 4천만 줄의 코드를 초과했습니다. 자동화된 도구는 인간 유지관리자가 거의 재방문하지 않는 인기 없는 영역을 검사할 수 있으므로 실제로 일부 실제 결함이 발견되었습니다. 올해 일부 Linux 취약점 기록이 명확하게 언급되었으며, AI 지원 정적 분석을 통해 관련 문제가 발견되었으며 나중에 Intel 제품 보안 팀에서 확인되었습니다.
그러나 다수의 AI 스캔 결과의 품질은 고르지 않으며, 그 중 다수는 우선순위가 낮은 문제이고 거의 사용되지 않는 드라이버에 집중되어 있습니다. 일부 패치는 논란의 여지가 있거나 심지어 완전히 AI "환각"이기도 합니다. 유지관리자는 어떤 보고서를 처리할 가치가 있는지, 어떤 보고서는 그저 소음일 뿐인지 사례별로 결정해야 했으며, 이로 인해 커널 팀의 작업량이 크게 증가했습니다.
Linux 7.3 네트워크 하위 시스템 개발 주기 동안 관리자인 Jakub Kicinski는 648개의 net-next 패치 중 약 1/3에서 절반이 AI가 주도하는 우선 순위가 낮은 수정, 코드 정리 또는 설명 변경인 것으로 보인다고 말했습니다. 그는 유지 관리 팀이 "완전히 압도당했다"고 솔직하게 말했습니다.
AI로 인해 발생하는 추가적인 부담으로 인해 개발자들은 수년 동안 사용되어 온 일부 오래된 드라이버가 여전히 가치가 있는지 재평가하게 되었습니다. 올해 4월 개발자 Andrew Lunn은 주로 ISA 및 PCMCIA 시대의 구형 하드웨어에 사용되는 약 28,000줄의 레거시 네트워크 코드를 제거할 것을 제안했습니다. 과거에는 이러한 드라이버에 사용자가 거의 없었기 때문에 일반적으로 유지 관리가 거의 필요하지 않았습니다. 하지만 이제는 AI 스캐너와 퍼즈 테스트 도구가 지속적으로 문제를 발견하고 있으며, 관리자는 더 이상 관련 하드웨어를 사용하는 사람이 없다는 것을 확인하더라도 문제를 조사하고 수정해야 할 의무가 있습니다.
Linux 7.3에서는 일부 오래된 SGI 및 IBM 드라이버를 제거하기 시작했으며 기타 오래된 구성 요소도 동일한 검토를 받고 있습니다. 유지관리자는 이 코드의 호환성 값이 증가하는 유지관리 비용을 상쇄하기에 충분한지 여부를 고려하고 있습니다. 예를 들어 FreeVxFS 파일 시스템 드라이버는 제거되었으며 해당 관리자는 이전 시스템과의 호환성을 위해 수십 년 전에 유지된 이 코드 세트가 이제 주로 자동화된 취약점 검사기의 검색 대상이라고 믿고 있습니다.
리눅스 커널 커뮤니티는 AI를 완전히 거부하지 않습니다. Linux 안정 버전 관리자인 Greg Kroah-Hartman은 커널 취약점을 발견하기 위해 로컬에서 실행되는 AI 지원 퍼즈 테스트 도구를 성공적으로 사용했습니다. 분쟁의 초점은 수동 검증 없이 AI 출력물을 관리자에게 직접 넘겨 처리한다는 점이다. Kroah-Hartman은 최근 실제 보안 수정 사항을 제외하고 커널 스테이징 하위 시스템의 대규모 언어 모델에서 생성된 패치 제출을 금지했습니다. 업데이트된 커널 개발 가이드는 또한 수동 검증 없이 AI가 생성한 보고서가 유지관리자의 많은 시간을 낭비할 수 있음을 상기시킵니다.
이러한 상황에 직면한 커널팀은 "AI를 활용해 AI와 싸우려고" 노력하기 시작했습니다. 현재 팀은 여러 최첨단 모델에 액세스하여 패치를 검토하고 AI에서 생성된 잘못된 결과를 필터링했습니다. 또한 대규모 언어 모델이 더 많은 일상적인 관리 작업을 맡도록 하는 것도 고려하고 있습니다.
Kroah-Hartman은 9월 21일부터 23일까지 파리에서 열리는 Kernel Recipes 2026 컨퍼런스에서 이 추세에 대해 더 자세히 논의할 예정입니다. Linux 7.3은 현재 베타 버전이며 Linus Torvalds는 2주간의 병합 기간을 거쳐 8월 30일에 Linux 7.3-rc1을 출시합니다.
댓글