Маркетинг ба Бодит байдал: AI-ийн Linux Kernel-ээс олсон 79 цоорхойн ердөө 10 нь л бодитой байсныг Грег Кроа-Хартман илчиллээ

Сүүлийн үед хиймэл оюуны томоохон лабораториуд өөрсдийн фронтиер модел болон автомат агентуудыг "дэлхийн хамгийн нарийн төвөгтэй кодоос zero-day цоорхой олж чаддаг боллоо" хэмээн сурталчлах нь эрс нэмэгдсэн. Үүний нэг тод жишээ нь Anthropic компанийн шинэ модел Linux Kernel-ээс 79 ширхэг аюулгүй байдлын эмзэгдэл (CVE) илрүүлсэн гэх мэдээ байв.

Гэвч маркетингийн гоё амлалт нээлттэй эхийн хамгийн туршлагатай инженерүүдийн шүүлтүүртэй тулгарахад юу болдог вэ? Парист болсон Kernel Recipes 2026 бага хурал дээр Линукс кернелийн хамгийн олон хувилбарыг баталгаажуулсан, stable салбарын ахлах maintainer Грег Кроа-Хартман (Greg Kroah-Hartman) тайзан дээр гарч, AI-ийн гаргасан 79 "цоорхой"-г нэг бүрчлэн шалгасан аудитын үр дүнгээ зарлалаа.

Үр дүн нь AI салбарынхны хувьд тун хатуухан цохилт болов: 79 цоорхойн ердөө 10 нь л бодит амьдрал дээр аюул занал учруулахуйц, бодитой алдаа байжээ.

79 "цоорхой"-н цаана юу нуугдаж байсан бэ?

Грег Кроа-Хартманы танилцуулсан аудитын задаргааг харвал хиймэл оюуны код шинжилгээ бодит ертөнцөөс хэр хол байгааг төвөггүй харж болно:

24 тайлан: Ямар ч тайлбар, reproducer алхам байхгүй, зүгээр л "ямар нэг юм crash хийчихлээ" гэсэн ерөнхий лог.
14 тайлан: Ерөөсөө алдаа биш. AI кернелийн дотоод архитектур болон зориуд тэгж хийгдсэн логикийг ойлголгүйгээр алдаа гэж эндүүрсэн.
3 тайлан: Цэвэр хий хоосон төсөөлөл (Hallucination). Бодит байдал дээр байхгүй C бүтэц (struct), зохиомол функцийн нэр дурдагдсан.
15 тайлан: Тэртээ тэргүй кернелийн сүүлийн хувилбарт засагдчихсан хуучин алдаанууд (11-ийг нь хүмүүс, 4-ийг нь өмнө нь зассан байв).
20 тайлан: Засвар оруулах боломжтой ч бодит амьдрал дээр бараг тохиолдохгүй захын кэйсүүд (Үүнд: тухайн төхөөрөмж дээр физикээр хандаж байж санаатай гэмтэлтэй filesystem уншуулах, стекийн яг дунд түвшинд хуурамч сүлжээний багц inject хийх зэрэг онолын таамаглалууд).

Хамгийн инээдтэй нь, слайд дээрх тоонуудыг нэмэхэд 76 гарч байсан бөгөөд Грег AI-г "анхан шатны тооны хичээл дээрээ ч унаж байна" хэмээн хошигноод, эцсийн дүнд бодит шүүлтүүрийг давсан нь ердөө 10 bugfix байсныг онцолжээ.

Автоматжуулалт maintainer-үүдэд тус биш, гай болж байна

Асуудал зөвхөн хий хоосон тоондоо биш юм. Сүүлийн хэдэн сард олон арван стартап болон компаниуд LLM дээр суурилсан автомат сканеруудыг олон нийтийн нээлттэй сангууд (Open-Source repositories) руу чиглүүлж эхэлжээ.

Үүний уршгаар Линуксийн баг руу ирэх CVE мэдэгдлийн тоо долоо хоногт 50 байснаасаа хальж, өдөрт хэдэн арваар хэмжигдэх болсон байна. Maintainer-үүд өөрсдийн цагаа чухал сайжруулалт, системийн дизайн хийхэд зарцуулахын оронд AI агентуудын гаргаж ирсэн хэрэггүй "дуу чимээ" (noise), хуурамч анхааруулга (false positive)-ыг няцааж, шалгахад шатаж дуусаж (burnout) байгааг Грег анхааруулав.

Энэ нь нэг ёсондоо нээлттэй эхийн төслүүд рүү чиглэсэн хүний нөөцийн DoS (Denial of Service) дайралт болж хувираад байна.

Бенчмарк яагаад хууртагдаад байна вэ?

Хакер Ньюсийн хөгжүүлэгчдийн дунд өрнөж буй гол маргаан нь өнөөдөр AI-ийн чадварыг хэмждэг стандарт бенчмаркууд (тухайлбал SWE-bench) хэр найдвартай вэ гэдэг асуудал юм.

Цаасан дээр AI агентууд кодын даалгавруудыг 70-80%-ийн амжилттай шийдэж байна гэж гайхуулдаг ч:

Тестийн алдаа: Судалгаагаар SWE-bench-ийн амжилттай гэж үнэлэгдсэн засваруудын 30 гаруй хувь нь сул тестээс болж автоматаар тэнцсэн байдаг.
Системийн гүн ойлголт дутмаг: Кернел, үйлдлийн систем, драйвер зэрэг түвшинд ажиллахад зөвхөн синтакс төдийгүй санах ойн менежмент, thread race condition, тоног төхөөрөмжийн өвөрмөц онцлогийг мэдэх шаардлагатай. Харин одоогийн LLM-үүд зөвхөн stack trace харж таамаглал дэвшүүлэхээс цаашгүй байна.

Линуксийн нийгэмлэгийн шинэ дүрмүүд

Грег Кроа-Хартман энэхүү замбараагүй байдлыг зогсоохын тулд Линукс кернелийн хамт олон дараах хатуу бодлогыг баримталж эхэлснийг мэдэгдлээ:

Хүний хариуцлага (Human Accountability): Код болон алдааны тайлан бүрийн ард тухайн кодоо өөрийн гараар шалгаж, тестэлсэн бодит инженер "Signed-off-by" гарын үсгээ зурж хариуцлага хүлээх ёстой. AI-аар үүсгэгдсэн бүрхэг тайланг шууд хэрэгсэхгүй болгоно.
Local Model ашиглах: Хувийн, хаалттай кодын баазыг үүлэн модел руу явуулахгүй байх, шаардлагатай бол зөвхөн локал жижиг загваруудыг туслах хэрэгсэл болгох.
Хуурамч CVE-д хүлээцтэй хандахаа болих: Маркетингийн зорилгоор хийсвэр цоорхой үүсгэн нэр хүнд олох гэсэн AI компаниудын оролдлогыг олон нийтийн өмнө нэр заан зарлаж, шүүн тунгаах.

Дүгнэлт

AI код бичих болон алдаа хайх процессийг хурдасгаж чадах нь үнэн ч, шүүмжлэлт сэтгэлгээтэй хүний оролцоогүйгээр автоматаар үйлдвэрлэсэн кодын 85-90% нь одоогоор системийн инженерүүдийн хувьд зүгээр л хог хаягдал болж байна. Хөгжүүлэгчид бид хиймэл оюуны гаргасан PR болон тайланг нүдээ аниад хүлээн авах биш, суурь логик болон бодит нөхцөлөө нягтлах хариуцлага урьд өмнөхөөсөө илүү өндөр болсныг энэхүү үйл явдал санууллаа.

Эх сурвалж:

Greg Kroah-Hartman: "Security in the LLM Age" (Kernel Recipes 2026 Keynote)
LWN.net / Hacker News: Maintainer Audit on 79 AI Kernel CVEs
Medium: "AI Coding's $Billions Ride on a Broken Benchmark"