Telset.id – Kernel Linux menghadapi lonjakan luar biasa dalam jumlah CVE (Common Vulnerabilities and Exposures) yang diperbaiki, mendekati angka 2.000 per rilis. Kondisi ini memicu kekhawatiran di kalangan maintainer karena beban kerja mereka meningkat drastis akibat banyaknya laporan yang dihasilkan oleh alat berbasis kecerdasan buatan (AI).
Lonjakan ini kontras dengan era kernel Linux 6.x yang hanya mencatat sekitar 500 CVE per rilis. Menurut laporan Phoronix pada 28 Agustus, maintainer stabil Linux, Greg Kroah-Hartman, mengungkapkan tren ini dalam sebuah slide untuk presentasi di Kernel Recipes 2026. Data menunjukkan jumlah CVE melonjak di atas 1.000 pada Linux 7.0 dan melampaui 1.500 pada Linux 7.2. Jika tren berlanjut, Linux 7.3 berpotensi menembus angka 2.000 CVE.
Peningkatan ini bukan disebabkan oleh menurunnya kualitas keamanan Linux atau bertambahnya kerentanan. Pemicu utamanya adalah para “detektif” yang menggunakan alat AI untuk menelusuri pohon sumber kernel Linux, yang kini telah berkembang hingga lebih dari 40 juta baris kode selama 35 tahun keberadaannya. Alat-alat ini mampu memeriksa bagian-bagian kode yang jarang dilihat manusia dan terkadang menemukan cacat asli.
Catatan CVE Linux tahun ini bahkan secara eksplisit mengkreditkan analisis statis berbantuan AI yang berhasil menemukan kerentanan yang kemudian dikonfirmasi oleh Intel Product Security. Namun, banyak temuan lainnya tergolong kerentanan prioritas rendah—sering kali berada di kode driver yang tidak jelas—patch yang dipertanyakan, hingga halusinasi murni. Para maintainer manusia harus memilah mana pekerjaan yang berguna dan mana yang hanya noise.
Beban Kerja Maintainer Meningkat
Masalah ini sudah menjadi gangguan nyata bagi tim kernel yang harus memperbaiki berbagai isu. Dalam permintaan tarik (pull request) jaringan Linux 7.3, maintainer Jakub Kicinski memperkirakan bahwa sepertiga hingga setengah dari 648 patch net-next yang ditangani selama siklus tersebut tampaknya merupakan perbaikan prioritas rendah, pembersihan, atau klarifikasi yang digerakkan oleh AI. “Kami benar-benar kewalahan,” tulis Kicinski.
Persoalan ini juga membuat para maintainer Linux mempertanyakan apakah driver lama yang berusia puluhan tahun masih layak dipertahankan. Pada bulan April, pengembang Andrew Lunn mengusulkan penghapusan hampir 28.000 baris kode jaringan legacy yang mencakup perangkat keras era ISA dan PCMCIA. Driver-driver ini secara historis jarang membutuhkan perhatian karena hampir tidak memiliki pengguna. Namun, alat AI dan fuzzing mulai menemukan cacat yang mengharuskan maintainer untuk menyelidiki dan memperbaikinya, terlepas dari apakah ada orang yang benar-benar menjalankan perangkat keras tersebut.
Linux 7.3 sendiri telah menghapus kode driver SGI dan IBM lama, sementara komponen kuno lainnya juga telah dipensiunkan. Para maintainer menilai ulang apakah nilai kompatibilitasnya masih sebanding dengan biaya pemeliharaan baru. Driver filesystem FreeVxFS, misalnya, dihapus setelah maintainernya menyatakan bahwa kode kompatibilitas berusia puluhan tahun itu kini hanya menjadi pakan bagi pemeriksa bug otomatis.
Sikap Komunitas terhadap AI
Komunitas kernel tidak serta-merta menolak AI. Kroah-Hartman sendiri telah berhasil menggunakan alat fuzzing berbantuan AI yang berjalan lokal untuk menemukan bug kernel. Yang menjadi bahan perdebatan adalah hasil output AI yang tidak diverifikasi dan dibuang begitu saja kepada manusia untuk divalidasi.
Kroah-Hartman baru-baru ini melarang patch yang dihasilkan LLM di subsistem staging kernel, kecuali untuk perbaikan keamanan yang sah. Panduan kernel terbaru juga memperingatkan bahwa laporan yang dihasilkan AI tanpa verifikasi manusia dapat membuang waktu maintainer. Tim kernel kini semakin sering melawan AI dengan AI—mereka telah mendapatkan akses ke beberapa model frontier untuk membantu meninjau patch dan menyaring hasil halusinasi, serta mempertimbangkan untuk mendorong pekerjaan administratif rutin ke LLM dalam siklus pengembangan berikutnya.
Kroah-Hartman dijadwalkan membahas tren ini lebih lanjut di acara Kernel Recipes yang berlangsung pada 21-23 September di Paris. Sementara itu, Linux 7.3 sendiri telah memasuki tahap pengujian, dengan Linus Torvalds merilis Linux 7.3-rc1 pada 30 Agustus setelah menutup jendela penggabungan selama dua minggu.
Fenomena ini menunjukkan bagaimana AI mengubah dinamika pengembangan perangkat lunak open source. Di satu sisi, AI membantu menemukan kerentanan yang mungkin terlewatkan manusia. Di sisi lain, volume laporan yang dihasilkan tanpa verifikasi justru menjadi beban baru bagi para maintainer. Komunitas kernel kini berada di persimpangan antara memanfaatkan potensi AI dan mengelola dampaknya terhadap produktivitas manusia. Situasi serupa juga terjadi di ekosistem lain, seperti yang terlihat pada penelitian keamanan berbasis Linux yang mengungkap kerentanan pada layanan pihak ketiga.
Ke depan, keseimbangan antara otomatisasi AI dan validasi manusia akan menjadi kunci. Penggunaan alat keamanan di platform Linux juga menunjukkan bahwa ekosistem ini terus beradaptasi dengan tantangan baru. Namun, tanpa filter yang tepat, banjir laporan AI berpotensi memperlambat pengembangan kernel daripada mempercepatnya.
Komentar
Belum ada komentar.