Ferramentas de IA inundam mantenedores do Linux com relatórios duplicados de vulnerabilidades

Os mantenedores do kernel Linux enfrentam um problema inesperado: ferramentas de IA para busca de vulnerabilidades geram tantos relatórios de bugs que os voluntários simplesmente não conseguem processá-los a tempo. Milhares de relatórios duplicados e de baixa qualidade paralisam o trabalho em problemas reais de segurança.

A dimensão da enxurrada

A onda de relatórios automáticos cresce a cada semana. Ferramentas de IA treinadas em código-fonte vasculham o Linux atrás de possíveis vulnerabilidades e criam relatórios de bugs automaticamente. O problema é que os algoritmos geram muitos duplicados de uma mesma questão, vindos de ferramentas diferentes, em formatos diferentes e com níveis de detalhe diferentes.

Os mantenedores são, em sua maioria, voluntários que trabalham no tempo livre. Cada relatório precisa ser lido, compreendido e testado quanto à reprodutibilidade, e é preciso decidir se é uma vulnerabilidade real ou um falso positivo. Quando chegam centenas de relatórios por dia, o processo trava.

Por que a IA gera ruído

Nos últimos dois anos, modelos LLM como ChatGPT, Deepseek e Claude ficaram mais acessíveis e poderosos. Entusiastas e empresas lançaram scanners automatizados baseados nesses modelos para procurar vulnerabilidades. No papel, parece útil: mais olhos no código. Na prática, cria um problema de sobrecarga de informação.

A IA costuma disparar alertas em código que parece suspeito, mas é seguro no contexto do Linux. Os modelos nem sempre entendem as particularidades do kernel, a arquitetura de segurança e as proteções existentes. O resultado são centenas de "achados" que se mostram inúteis.

As consequências já são visíveis

A enxurrada de relatórios ruidosos afeta o processo de desenvolvimento:

• Vulnerabilidades críticas reais se perdem no fluxo de duplicados e falsos positivos
• Os mantenedores são obrigados a gastar tempo com triagem em vez de programar
• Alguns voluntários ameaçam deixar o projeto por cansaço
• A velocidade de correção dos problemas reais diminui
• O processo de revisão fica mais cansativo e lento

Desenvolvedores propuseram criar um filtro ou uma quarentena separada para relatórios de IA, para separá-los fisicamente dos relatórios feitos por pessoas.

O que isso significa

Um paradoxo: ferramentas que deveriam melhorar a segurança, na prática a dificultam. A IA é útil para encontrar padrões, mas exige filtragem humana e compreensão do contexto.

A comunidade Linux pode ter de escolher: ou fechar o bug tracker para ferramentas automáticas, ou criar um procedimento de verificação dos relatórios antes da publicação.