Linux内核开发者困惑：AI Bug报告为何突然靠谱

来源：CSDN（ID：CSDNnews）

近期，从事开源项目维护的开发者们或许都感受到了一种奇特的现象：Bug报告的数量似乎增加了，而且准确性也提高了——具体来说，AI 提交的 Bug 报告，突然变得“可信”起来。

这并非某个项目的个别现象，而是整个开源领域几乎同步发生的变化。在最近的 KubeCon Europe 大会上，Linux 内核核心维护者 Greg Kroah-Hartman 提供了一条令人惊讶的消息：

“大约一个月前，似乎有什么发生了改变。现在我们收到的 AI 报告，几乎都是有价值的 Bug 报告。”

然而，问题在于——没人清楚到底发生了什么。

从“AI 垃圾”到“真实报告”，只用了一个月的时间

Greg 回忆道，几个月前，Linux 内核团队还在被一种现象困扰：“我们当时称这些为 AI slop（AI 垃圾）。”

这些由 AI 生成的安全报告大多存在明显缺陷：逻辑不通、漏洞不存在、描述混乱，甚至代码路径都对不上。对于维护者而言，这些报告更像是干扰，而非帮助。

由于 Linux 内核维护者团队规模庞大，这种干扰尚可承受。但对于一些小型项目来说，情况就糟糕得多。例如，Daniel Stenberg 主导的 cURL 项目，曾因 AI 垃圾报告泛滥而暂停了 Bug 赏金计划，因为团队根本无法分辨真假。

然而，转折点突然来临——Greg 的描述非常直接：“某个时间点之后，情况突然发生了变化。”

如今的情况是：

● AI 提交的 Bug 报告大多是可以验证的真实问题；

● 报告结构更加清晰，分析路径更加合理；

● 不再是“随意猜测”，而是接近人类开发者水平的安全分析。

更重要的是，这并非 Linux 独有的现象。

“所有开源项目都开始收到 AI 生成的高质量、真实有效的报告，不再是过去的垃圾内容。”Greg 表示，各大主流开源项目的安全团队经常私下交流，大家都注意到了这一转变：“现在所有开源安全团队都在经历这件事。”

当被问及“到底是什么导致了这种变化”时，他的回答非常坦率：“不知道，真的没人知道。”

Greg 猜测，可能是大量 AI 工具突然变得更强，或者有更多人开始深入研究这一领域，似乎许多不同团队和公司都在同时发力。

但无论原因是什么，可以确定的是：整个开源安全生态正在经历一场“AI 跨越”。

不仅仅是找 Bug，AI 已经开始“修 Bug”

变化远不止于此。目前在 Linux 内核中，AI 的主要角色仍集中在代码审查阶段，少量用于生成 patch，很少直接用于编写核心代码。但 Greg 表示：“对于一些简单问题（例如错误处理逻辑），AI 已经能够生成‘数十个可用 patch’。”

Greg 提供了一个实际案例：他曾用一个非常简单甚至“随意”的提示，让 AI 分析代码并提出修复方案，结果 AI 一次性提供了 60 个问题及其对应的 patch。其中大约三分之一是错误的——但即便是错误的，它们也揭示了某种潜在风险。而剩下的三分之二，则是可以直接使用的修复方案。

当然，这些 patch 不能直接合并，仍需人工整理、补充变更说明以及进行代码集成。但关键在于：这些 patch 已经不再是“无用的 AI 垃圾”，而是“可用的半成品”。

正如 Greg 所言：“这些工具效果显著，我们不能忽视，它正在快速发展，而且越来越强大。”

Linux 开始“反向武装 AI”，提升效率

随着 AI 生成内容的激增，一个新的问题也随之而来：人类维护者开始“看不过来”。

为此，Linux 社区开始引入 AI 来解决这一问题。一个关键工具是 Sashiko，由 Google 开发并捐赠给 Linux 基金会。其目标明确：在 patch 进入人工审查之前，先进行一轮 AI 预审。

与此同时，各个子系统也在积累自己的“AI 审查经验”。“不同子系统会针对自身特点优化能力与提示词——例如存储模块应关注哪些方面、图形模块应关注哪些方面。大家在公开社区中分享优化方案，这才是正确的方式，非常棒。”

Greg 还提到，现任职于 Meta 的资深内核开发者 Chris Mason 率先开创了基于 AI 的审查工作流，已在 eBPF 和网络模块中运行许久；systemd 项目也在其纯 C 代码库中使用了类似工具。

不过他也强调，AI 审查是补充而非替代人工：“在审查方面，AI 能提供不少优质建议，但无法覆盖所有情况，有些结论依然错误。不过，许多显而易见的问题都能被它指出。”

总体而言，AI 审查的价值并不完全在于“是否正确”，而在于——它足够快。

在传统流程中，一个 patch 从提交到被维护者看到，可能需要数天甚至更久。而 AI 可以在几分钟内提供初步反馈。这将带来连锁反应：开发者可以更快修正问题、提交新版本；明显有问题的 patch 可以被提前过滤；维护者则可以将精力集中在更复杂的决策上。

某种意义上，AI 让代码审查从“排队等待”变成了“即时反馈”。

但代价也很现实：工作量在增加

听起来一切都在改善，但 Greg 的总结却很谨慎：“我们需要审查的内容变多了。”

AI 降低了参与门槛，也提高了“内容看起来合理”的程度，这直接导致输入量激增。对于 Linux 这样的大型项目，这尚在可承受范围内。但对于中小型开源项目来说，这种增长可能是压倒性的。

因此，像 OpenSSF、Alpha-Omega 等安全项目正在尝试提供更多工具，帮助维护者应对这波“AI 输入洪流”。

因此，对于所有开源维护者而言，真正的挑战已不再是“是否使用 AI”，而是：如何在不被淹没的前提下，将 AI 转化为生产力。而从目前的趋势来看，这场关于 AI 的“基础设施竞赛”才刚刚开始。

参考链接：

https://www.theregister.com/2026/03/26/greg_kroahhartman_ai_kernel/