La IA ha detectado casi 2.000 vulnerabilidades CVE en el kernel de Linux por versión, superando ampliamente las 500 habituales y dejando a los mantenedores desbordados.

La inteligencia artificial colapsa a los desarrolladores de Linux

• El volumen de fallos de seguridad detectados en el kernel de Linux ha experimentado un aumento drástico gracias al uso de la IA. Actualmente, se están localizando cerca de 2.000 vulnerabilidades CVE por cada versión, una cantidad alarmante si se compara con las 500 que se solían hallar en la etapa de Linux 6.x.
• Este incremento masivo en la detección de errores ha provocado que los mantenedores del sistema se encuentren completamente desbordados ante la cantidad de correcciones necesarias.

El kernel de Linux se acerca a las 2.000 vulnerabilidades CVE (Vulnerabilidades y Exposiciones Comunes) encontradas por la IA por cada nueva versión que recibe. Hablamos de una cifra escandalosa que contrasta con las aproximadamente 500 que se registraban durante buena parte de la etapa de Linux 6.x. El crecimiento se ha acelerado especialmente durante las últimas versiones. Linux 7.0 superó las 1.000 CVE, Linux 7.2 pasó de las 1.500 y, si la tendencia continúa, Linux 7.3 podría superar las 2.000.

Pese a estas cifras, no, no tengas miedo, Linux no es que se esté volviendo más inseguro con el paso del tiempo. El principal motivo es que se está usando cada vez más a la inteligencia artificial, grandes modelos de lenguaje y herramientas automatizadas para analizar las más de 40 millones de líneas de código del kernel. Estas herramientas pueden revisar continuamente partes del código que un desarrollador probablemente no tocaría durante años. Esto permite encontrar errores reales, pero también defectos de escasa importancia, falsos positivos y directamente alucinaciones. Y aquí nace un nuevo problema: todo lo que la IA encuentra debe ser verificado manualmente por un humano.

La IA dispara la detección de CVE de Linux de unas 500 a casi 2.000 por versión

El responsable de mantenimiento de las versiones estables de Linux, Greg Kroah-Hartman, ha mostrado la evolución del número de CVE asignadas al kernel durante los últimos ciclos. Durante gran parte de Linux 6.x las cifras rondaban aproximadamente las 500 vulnerabilidades por versión, pero el crecimiento ha sido muy pronunciado desde Linux 7.0. La previsión actual apunta a que Linux 7.3 podría establecer un nuevo récord superando las 2.000 CVE corregidas. Linux 7.3 ya entró en fase de pruebas después de que Linus Torvalds publicase Linux 7.3-rc1 el pasado 30 de agosto.

Hay además una particularidad importante en la forma en la que Linux contabiliza estas vulnerabilidades. El equipo responsable de asignar CVE adopta deliberadamente una postura muy conservadora. Y es que debido a que prácticamente cualquier error dentro del kernel puede acabar teniendo implicaciones de seguridad, se asignan identificadores CVE a muchas correcciones que potencialmente podrían convertirse en problemas de seguridad, aunque en la práctica su explotación pueda ser extremadamente complicada o afecte únicamente a configuraciones muy específicas.

La IA está amplificando todavía más esta situación porque puede rastrear continuamente código que apenas tiene usuarios. Drivers enfocado a hardware antiguo, sistemas de archivos prácticamente abandonados o interfaces heredadas llevan décadas dentro del kernel sin causar demasiado trabajo porque casi nadie las utiliza. Ahora los analizadores automatizados encuentran defectos en ellas y los mantenedores tienen que dedicar tiempo a comprobarlos. Esto está provocando incluso que Linux acelere la eliminación de código obsoleto. Es por ello que se propuso retirar casi 28.000 líneas de antiguos drivers de red ISA y PCMCIA. Todo ello mientras que en Linux 7.3 se está eliminando componentes heredados de SGI e IBM y otros controladores cuyo coste de mantenimiento empieza a superar su utilidad real.

Los mantenedores de Linux están "completamente desbordados"

Durante el desarrollo de Linux 7.3, los mantenedores Jakub Kicinski y Paolo Abeni gestionaron 632 parches para net y otros 648 para net-next. Jakub estima que entre un tercio y la mitad de esos 648 parches de net-next parecían correcciones de baja prioridad, limpiezas o aclaraciones impulsadas por herramientas de IA. Básicamente resume la situación que estaban completamente desbordados.

Ahora el verdadero cuello de botella ya no consiste únicamente en encontrar errores. Ahora un humano debe determinar cuáles de ellos son reales y cuáles merecen realmente su atención. La propia documentación oficial del kernel reconoce que una parte significativa de los informes de seguridad recibidos procede de revisiones de código asistidas por IA. Además de que muchos de ellos generan una carga innecesaria de trabajo por su baja calidad. Es por ello que se pide que cualquier fallo descubierto mediante IA sea verificado sobre una versión reciente del kernel, acompañado de un reproducer funcional cuando sea posible y, preferiblemente, de una corrección que haya sido compilada y probada.

De esta forma, la IA está consiguiendo encontrar errores en Linux más rápido de lo que sus propios desarrolladores pueden revisarlos. Sobre el papel, que aparezcan más CVE puede parecer una señal de deterioro de la seguridad, pero en realidad también refleja que se está inspeccionando una cantidad de código mucho mayor y con herramientas capaces de encontrar defectos que anteriormente podían permanecer ocultos durante años. Hay que recordar que otros sistemas operativos como Windows 11 también están siendo examinados con IA para acelerar la detección de vulnerabilidades entre otros problemas. Por lo que realmente la IA está siendo una gran ayuda.