Linus Torvalds ergert zich kapot aan AI-bugjagers voor Linux

Linux-kernelmaker Linus Torvalds heeft een onomwonden waarschuwing afgegeven aan AI-gestuurde bugjagers: de vloedgolf aan geautomatiseerde kwetsbaarheidsmeldingen overspoelt de security-mailinglijst van het project en levert meer werk op dan het oplost.

De opmerkingen verschenen in Torvalds’ wekelijkse releasenote voor Linux 7.1-rc4 van 17 mei. Na een routine-overzicht van de kernelvoortgang wees hij op een groeiende operationele hoofdpijn. Ongeveer de helft van de patch draait om drivers, met GPU-updates voorop, “zoals gebruikelijk,” merkte hij op. Naast wijzigingen in networking, de kern van de kernel, bestandsystemen en architectuur.

Maar vooral een update aan de projectdocumentatie verdiende volgens hem aandacht. De security-mailinglijst is “bijna volledig onhandelbaar” geworden door een onophoudelijke stroom AI-gegenereerde bugrapporten, met “enorme duplicatie doordat verschillende mensen hetzelfde vinden met dezelfde tools.”

Volgens hem verliezen maintainers kostbare tijd aan het doorsturen van meldingen naar de juiste personen of aan het melden aan inzenders dat het probleem “een week/maand geleden” al is opgelost, inclusief verwijzing naar de bestaande publieke discussie. “Volstrekt zinloze ruis,” schreef Torvalds.

Zijn standpunt: bugs die door AI-tools worden gevonden, zijn “per definitie niet geheim.” Een besloten securitylijst is dan de verkeerde plek en verergert de duplicatie juist, omdat inzenders niet kunnen zien wat anderen al hebben gemeld.

Torvalds wil AI niet afschrijven. “AI-tools zijn geweldig,” schreef hij, “maar alleen als ze echt helpen en geen onnodige pijn en schijnwerk veroorzaken.” Het probleem zit volgens hem niet in de technologie, maar in hoe die wordt gebruikt.

Zijn advies aan bijdragers is duidelijk: als een AI-tool een bug vindt, is de kans groot dat iemand anders die ook al heeft gevonden. Echte waarde toevoegen betekent een stap verder gaan: documentatie lezen, een patch schrijven en betekenisvol voortbouwen op wat de AI aanreikt. “Wees niet de voorbijganger die ‘zomaar een melding stuurt zonder echte begrip’,” schreef hij.

De opmerkingen leggen een bredere wrijving bloot in open source-ontwikkeling: AI verlaagt de drempel om kwetsbaarheden te vinden, maar verhoogt niet automatisch de kwaliteit of de coördinatie van meldingen. Het is vervolgens aan menselijke maintainers om de ruis op te vangen.