Linus Torvalds: AI đang làm quá tải bảo mật hệ điều hành Linux

Linus Torvalds, cha đẻ của Linux, cho biết làn sóng báo cáo lỗ hổng trùng lặp do AI tạo ra khiến danh sách email bảo mật nội bộ trở thành một bãi rác gây lãng phí thời gian.

Trong bài đăng hàng tuần trên LKML, Torvalds cho biết danh sách bảo mật riêng tư của dự án hiện "gần như không thể quản lý". Nguyên nhân là hàng loạt nhà nghiên cứu độc lập cùng chạy một loại công cụ AI trên một đoạn mã nguồn, phát hiện ra những lỗi giống hệt nhau, rồi ồ ạt gửi báo cáo về. Do danh sách được bảo mật và giữ kín, các nhà nghiên cứu không thể biết lỗi đã có ai báo cáo hay chưa. Hệ quả là đội ngũ kỹ sư duy trì dự án mất rất nhiều thời gian phân loại email trùng lặp, đồng thời hướng dẫn người gửi tìm đến các bản sửa lỗi vốn đã được cập nhật từ nhiều tuần trước.

"Về mặt định nghĩa, các lỗi do AI phát hiện hầu như không phải bí mật. Việc xử lý chúng gây lãng phí thời gian cho tất cả những ai tham gia", Torvalds nói.

Theo tài liệu hướng dẫn mới được cập nhật của nhân Linux, dự án hiện chính thức yêu cầu tất cả lỗ hổng tìm thấy bằng công cụ AI phải được xử lý như thông tin tiết lộ công khai. Thay vì gửi vào danh sách bảo mật riêng tư, người báo cáo phải gửi trực tiếp đến các kỹ sư duy trì nhánh mã nguồn liên quan. Các báo cáo này phải ngắn gọn, định dạng bằng văn bản thuần túy và đính kèm quy trình tái diễn lỗi đã được xác minh để chứng minh đó không phải lỗi ảo.

Linus Torvalds. Ảnh:GitHub

Theo Tom's Hardware, sự bùng nổ của AI đang thay đổi hoàn toàn cục diện bảo mật mã nguồn mở. Willy Tarreau, người sáng lập HAProxy, cho biết hai năm trước, danh sách email bảo mật của nhân Linux chỉ nhận khoảng 2-3 báo cáo mỗi tuần, nhưng giờ đây là 5-10 báo cáo mỗi ngày. Dù phần lớn lỗi có thật, sự trùng lặp lớn do dùng chung công cụ AI đã làm quá tải quy trình phân loại truyền thống.

Trước thực trạng đó, Linus Torvalds thúc giục chuyên gia bảo mật cần nâng cao trách nhiệm thay vì chỉ "gửi rác" cho các nhà phát triển. "Nếu thực sự muốn đóng góp giá trị, hãy đọc tài liệu hướng dẫn, tự viết một bản vá dựa trên những gì AI tìm được. Đừng tiện tay gửi báo cáo ngẫu nhiên mà bản thân không có một chút hiểu biết thực tế nào", ông nhấn mạnh.

Cách tiếp cận này đang được Greg Kroah Hartman, một nhà duy trì của Linux, áp dụng hiệu quả. Ông tự phát triển hệ thống tìm lỗi bằng AI có tên Clanker T1000. Khi quét ra lỗi, ông sẽ viết bản sửa lỗi, chịu trách nhiệm pháp lý cho mã nguồn đó và công khai toàn bộ quy trình lên cộng đồng.

Tháng trước, dự án nhân Linux cũng ban hành chính sách chính thức đối với các đóng góp có sự hỗ trợ của AI. Theo đó, hệ thống cho phép sử dụng mã do AI tạo ra nhưng áp đặt quy tắc minh bạch nghiêm ngặt. Các thực thể AI không được phép ký thẻ Signed-off-by (chịu trách nhiệm pháp lý). Thay vào đó, lập trình viên phải sử dụng thẻ Assisted-by (được hỗ trợ bởi AI) để công khai công cụ họ sử dụng. Quy định nêu rõ con người là bên duy nhất chịu trách nhiệm pháp lý cao nhất đối với mỗi dòng mã hoặc bất kỳ lỗi phát sinh nào do AI tạo ra khi nộp lên hệ thống.

Cộng đồng Linux là một trong những cộng đồng nguồn mở lớn và bền bỉ nhất thế giới, quy tụ hàng chục nghìn lập trình viên, kỹ sư và doanh nghiệp công nghệ tham gia phát triển trong hơn ba thập kỷ qua. Không thuộc sở hữu của một công ty duy nhất, Linux được xây dựng theo mô hình hợp tác toàn cầu, với nhân Linux do cộng đồng duy trì và các bản phân phối như Ubuntu, Debian, Red Hat được các tổ chức khác nhau phát triển trên nền tảng đó.

Nhờ tính mở, ổn định, khả năng tùy biến cao, Linux trở thành hệ điều hành chủ đạo của hạ tầng số hiện đại khi vận hành phần lớn máy chủ Internet và siêu máy tính hàng đầu thế giới, nền tảng Android trên hàng tỷ smartphone, cũng như các hệ thống điện toán đám mây, AI và thiết bị nhúng. Vai trò xương sống đó khiến Linux không chỉ là một hệ điều hành, mà là nền móng kỹ thuật quan trọng của kinh tế số và công nghệ toàn cầu hiện nay.

Huy Đức tổng hợp