セキュリティ
Linuxの主要プロジェクトの1つでは、修正が新たなバグ報告を上回るペースで届いている
「パッチ・ポカリプス」の最悪の時期は過ぎたのかもしれません。Linus Torvalds氏がそう示唆しました。
Linuxカーネルの開発責任者である同氏は、週次のカーネル更新投稿で、次期カーネルの2番目の暫定版となる「Linux 7.4 rc2」を公開しました。同氏はこのrc2を、2つの理由から大規模なリリースだと評価しています。
1つ目は、rc1にコードの一部を含めなかったことです。多忙だったことに加え、rc1がすでにカーネル史上最大のrc1リリースだったためです。
2つ目は、Torvalds氏が「さまざまなAIによる修正」と表現したものです。
こうした修正が必要になっているのは、Anthropicが4月にバグ発見モデル「Mythos」を公開して以来、開発者がこれまでより多くのソフトウェアの欠陥を見つけられるようになったためです。
たとえばMicrosoftは、9月に過去最多となる974件の欠陥を修正しました。今年3度目の記録更新で、7月の622件、6月の206件を上回っています。Oracleは1カ月で1,449件の欠陥に対処しました。
これはIT部門が処理できる体制を大きく超えるパッチ数です。それでも、攻撃者がAIが見つけた欠陥を狙う動きを強めているため、より迅速にバグへ対処する方法を見つけなければなりません。
Torvalds氏の投稿は、こうした状況の最悪期が過ぎた可能性を示唆しています。
同氏は「今回、Alexei氏は、少なくともbpf関連では修正が新たな報告を上回るペースで入るようになったと主張している。それが本当なら素晴らしいことだ」と書いています。
ここで言及されたのは、Alexei Starovoitov氏です。同氏は、Linuxカーネル内でサンドボックス化されたプログラムを実行できるようにするプロジェクト、Extended Berkeley Packet Filter（eBPF）の共同開発者であり、主任開発者です。
Torvalds氏はさらに、次のように述べています。「他のほとんどの分野はまだその段階に達していないと思う。だが、潮目が変わり始めている兆しが見えてきた『かもしれない』という意味では、少なくとも1つの兆候だ。過度な期待は禁物だが、そう遠くない将来にそこへたどり着けることを祈りたい」
Torvalds氏の見立てが正しければ、歓迎すべきニュースです。Linuxカーネルは4,000万行を超えるコードを抱え、世界でも有数の大規模ソフトウェアプロジェクトです。eBPF以外のカーネルの各領域でも、AIが欠陥を見つけ出す動きがまもなく落ち着けば、開発者とユーザーの双方が対応を迫られる修正の洪水は、すでにピークに達したのかもしれません。®
