Beheerders van Linux-omgevingen werden deze week geconfronteerd met een ongebruikelijke hoeveelheid nieuwe beveiligingsmeldingen. In slechts twee dagen verschenen 432 CVE’s voor de Linux-kernel. De omvang van die stroom leidt binnen de open-sourcegemeenschap tot vragen over de houdbaarheid van het huidige proces voor het melden, beoordelen en verwerken van kwetsbaarheden.
Op de OSS-SEC-mailinglijst trok Jan Schaumann, Chief Information Security Architect bij Akamai, aan de bel. Volgens hem is het voor beveiligingsteams nauwelijks nog realistisch om elke afzonderlijke kernelkwetsbaarheid te analyseren en op basis daarvan prioriteiten te stellen. Het aantal meldingen is daarvoor simpelweg te groot geworden.
Schaumann merkt op dat organisaties theoretisch een large language model kunnen inzetten om de nieuwe CVE’s automatisch te classificeren. Daarmee verschuift het probleem volgens hem echter slechts. Als dagelijks weer tientallen nieuwe meldingen verschijnen, blijft de hoeveelheid werk vrijwel even groot.
Automatisering lijkt onvermijdelijk
Tegenover The Register noemt Schaumann vergaande automatisering uiteindelijk de enige realistische manier om de groeiende stroom Linux-kwetsbaarheden te verwerken. Tegelijkertijd wijst hij erop dat juist grote organisaties vaak niet zomaar volledig geautomatiseerde updates kunnen invoeren, doordat zij afhankelijk zijn van langdurige test- en releaseprocessen en contractuele supportverplichtingen.
Volgens Schaumann resteren daardoor feitelijk nog twee strategieën: alle Linux-systemen zeer regelmatig bijwerken of afwachten welke kwetsbaarheden daadwerkelijk worden misbruikt en zich als serieus risico ontwikkelen. Beide benaderingen kennen volgens hem duidelijke nadelen.
AI vergroot de werkdruk
Binnen de Linux-gemeenschap wordt gespeculeerd dat de snelle toename mede het gevolg is van AI-ondersteunde kwetsbaarheidsonderzoeken. Geautomatiseerde analyse maakt het eenvoudiger om grote hoeveelheden broncode systematisch op fouten te controleren, waardoor meer potentiële beveiligingsproblemen aan het licht komen.
Die ontwikkeling sluit aan bij eerdere uitspraken van Linux-bedenker Linus Torvalds. Hij stelde in mei dat de Linux-beveiligingsmailinglijst inmiddels “vrijwel onbeheersbaar” is geworden door de grote hoeveelheid AI-ondersteunde bugmeldingen.
Tegelijkertijd is Torvalds niet negatief over het gebruik van AI binnen de kernelontwikkeling. Hij ziet kunstmatige intelligentie juist als een waardevol hulpmiddel voor ontwikkelaars. Wel erkent hij dat AI het werk van maintainers aanzienlijk zwaarder maakt, omdat de technologie steeds nieuwe fouten ontdekt die vervolgens allemaal moeten worden beoordeeld en verwerkt.
Niet iedere CVE is een ernstig lek
Het grote aantal nieuwe CVE’s betekent overigens niet dat Linux plotseling met honderden kritieke beveiligingslekken kampt. Binnen het Linux-kernelproject wordt een brede definitie van een kwetsbaarheid gehanteerd. Vrijwel iedere softwarefout die de vertrouwelijkheid, integriteit of beschikbaarheid van een systeem kan beïnvloeden, komt in aanmerking voor een CVE.
Dat beleid zorgt ervoor dat ook relatief kleine of moeilijk uit te buiten fouten een eigen CVE-nummer krijgen zodra een bugfix in een stabiele kernelversie wordt opgenomen. Het gevolg is een vollediger overzicht van beveiligingsproblemen, maar ook een steeds grotere administratieve en operationele belasting voor organisaties die alle meldingen moeten beoordelen.
De discussie illustreert een bredere ontwikkeling binnen cybersecurity. AI helpt ontwikkelaars en onderzoekers om sneller kwetsbaarheden op te sporen. Het vergroot tegelijkertijd de druk op securityteams die verantwoordelijk zijn voor triage, risicobeoordeling en patchbeheer. De uitdaging verschuift daarmee van het vinden van kwetsbaarheden naar het efficiënt verwerken van de snel groeiende stroom aan meldingen.