KI findet in Linux mehr Fehler als Maintainer abarbeiten können

KI-gestützte Sicherheitsanalyse trifft den Linux-Kernel mit voller Wucht. Was lange nach Zukunftsmusik klang, ist jetzt ein handfestes Maintainer-Problem: Automatisierte Werkzeuge finden in kurzer Zeit deutlich mehr Fehler, als viele Projektverantwortliche prüfen, reproduzieren und beheben können.

Die Zahl der behobenen CVEs pro Linux-Kernel-Release liegt inzwischen bei fast 2.000. Früher waren es grob 500. Das ist ein harter Sprung. Er zeigt vor allem eins: Die Suche nach Schwachstellen skaliert gerade viel schneller als deren Bearbeitung.

Für die Sicherheit ist das erst mal eine gute Nachricht. Projekte bekommen mehr Aufmerksamkeit. Auch ältere, komplexe Codepfade werden systematisch durchleuchtet. Ein Beispiel dafür ist eine Linux-Schwachstelle, die laut Berichten 23 Jahre unentdeckt blieb und erst mit KI-Hilfe gefunden wurde. Solche Funde machen klar, wie viel Altlast in kritischer Infrastruktur steckt.

Das Problem beginnt beim zweiten Schritt. Ein gefundener Bug ist noch kein gefixter Bug. Maintainer müssen einschätzen, ob ein Bericht stimmt, wie er sich reproduzieren lässt, ob ein Fehler Sicherheitsfolgen hat oder „nur“ ein normaler Defekt ist und wie ein Fix aussehen kann, ohne an anderer Stelle Schaden anzurichten. Genau diese Arbeit lässt sich nicht einfach im gleichen Tempo hochskalieren.

Hinzu kommt: Wenn viele Entwickler ähnliche KI-Systeme nutzen, landen oft ähnliche Fundstücke bei denselben Teams. Das erzeugt Last, auch wenn die Hinweise echt sind. Open-Source-Projekte kämpfen damit schon länger, bisher vor allem bei schlecht geschriebenen Meldungen. Neu ist, dass die Berichte besser werden. Das reduziert zwar offensichtlichen Müll, erhöht aber den Druck auf die Menschen, die am Ende jede Meldung ernsthaft prüfen müssen.

Auch außerhalb des Kernels ist der Trend sichtbar. Beim curl-Projekt berichten Maintainer von einem deutlichen Anstieg guter Sicherheitsmeldungen mit KI-Unterstützung. In Perfettos Trace Processor wurden innerhalb von zehn Wochen 17 Sicherheitsbugs gefunden. Solche Zahlen sprechen dafür, dass Sicherheitsanalyse endlich auch den langen, oft vernachlässigten Software-Rand erreicht. Für Nutzer ist das gut. Für die kleinen Teams hinter vielen Projekten ist es eine Zumutung, wenn keine zusätzliche Hilfe kommt.

Darum ist die Debatte um Rust im Linux-Umfeld mehr als ein Sprachkrieg. Wenn KI vor allem in unsicherem C/C++-Code zuverlässig Speicherfehler und ähnliche Klassen von Schwachstellen aufspürt, steigt der Druck, neue Komponenten robuster zu bauen. Rust löst das Maintainer-Problem nicht. Aber weniger fehleranfälliger Code würde den Strom an Meldungen wenigstens an einer Stelle bremsen.

Die Lage ist also widersprüchlich, aber klar. KI macht kritische Software überprüfbarer. Das ist ein Fortschritt. Doch Open Source bekommt damit kein Selbstheilungssystem. Es entsteht eher eine neue Schieflage: Das Finden von Fehlern wird billig, das Verstehen und Reparieren bleibt teuer. Wer Linux und andere zentrale Projekte sicherer machen will, muss deshalb nicht nur Scanner finanzieren, sondern vor allem die Menschen, die den Rückstau abarbeiten.