Tekoäly löysi Linuxista 2 000 aukkoa – korjaajat eivät pysy perässä

Linus Torvalds kirjoitti toukokuussa rutiinitehtäväänsä, viikoittaista julkaisuviestiä Linux-ytimen kehitysversiosta 7.1-rc4. Viestin loppuun hän lisäsi kappaleen, joka ei koskenut koodia lainkaan. Ytimen suljettu tietoturvapostilista, jonne vakavimmat haavoittuvuudet ilmoitetaan ennen julkistusta, oli mennyt hänen sanojensa mukaan lähes hallitsemattomaksi.

Pari vuotta sitten listalle tuli kahdesta kolmeen ilmoitusta viikossa. Nyt niitä tulee viidestä kymmeneen päivässä. Suurin osa on tekoälytyökalujen tuottamia, ja iso osa niistä on saman löydön eri versioita eri lähettäjiltä.

Viidestäsadasta kahteen tuhanteen

Torvaldsin turhautuminen sai mittasuhteet syyskuun alussa, kun vakaiden ydinversioiden ylläpitäjä Greg Kroah-Hartman julkaisi esitysdiansa ennen kuun lopun Kernel Recipes -konferenssia Pariisissa. Dian käyrä on jyrkkä. Versioissa 6.9–6.19 kirjattiin keskimäärin noin 500 CVE-tunnistetta julkaisua kohti. Linux 7.0:n kohdalla luku ylitti tuhannen, 7.2:ssa puolitoista tuhatta, ja jos suunta jatkuu, tulevassa 7.3:ssa mennään lähelle kahta tuhatta.

Ylläpitäjien puolella tunne on sama kaikissa alijärjestelmissä. Verkkopuolen ylläpitäjä Jakub Kicinski arvioi, että kehityssyklin aikana käsitellyistä 648:sta net-next-korjauksesta kolmannes tai puolet oli vähäpätöisiä. Hänen tiivistyksensä oli lyhyt: ”Olemme täysin ylikuormitettuja.” Alkukielellä lause kuului ”We are completely overwhelmed”.

Enemmän löytöjä ei tarkoita enemmän aukkoja

Käyrän voi lukea väärin, ja moni lukeekin. Se ei kerro, että Linuxista olisi tullut turvattomampi. Ytimen koodipohja on kasvanut viime vuosina tasaisesti eikä läheskään nelinkertaistunut, rivejä on noin 40 miljoonaa. Aukot olivat koodissa jo ennen kuin kukaan kirjasi niitä ylös. Muuttunut on se, kuka koodia lukee ja kuinka nopeasti.

Kielimallit käyvät läpi ajureita, joita yksikään ihminen ei ole avannut vuosikymmeneen, eivätkä ne kyllästy kesken PCMCIA-korttien tukikoodin. Samat työkalut ovat itsekin hyökkäyspinta: AI Suomi kertoi aiemmin, kuinka koodiin piilotettu ohje kaappasi kokonaisen koodiagentin.

Osa kasvusta on puhdasta kirjanpitoa. Kun ydin siirtyi antamaan CVE-tunnisteet itse, se alkoi kirjata tunnisteen käytännössä jokaisesta korjauksesta, jolla voi olla tietoturvamerkitystä. Heinäkuussa 2026 tietoturvatiimi julkaisi 432 tunnistetta kahdessa vuorokaudessa. Aiemmin vastaavat korjaukset olisivat menneet läpi tavallisina bugikorjauksina eikä niitä olisi laskenut kukaan.

Löytäminen halpeni, korjaaminen ei

Tässä on jutun varsinainen epäsuhta. Haavoittuvuuden löytäminen maksaa nykyään muutaman euron laskenta-aikaa, ja sen voi tehdä yön yli tuhanteen kertaan. Korjaaminen vaatii edelleen ihmisen, joka ymmärtää kyseisen ajurin, kirjoittaa korjauksen, testaa sen oikealla raudalla, katselmoi jonkun toisen korjauksen ja siirtää lopputuloksen vanhempiin vakaisiin versioihin. Sitä työtä ei monisteta ostamalla lisää GPU-aikaa.

Ydin on alkanut vastata karsimalla. Tulevasta versiosta poistuu lähes 28 000 riviä vanhaa verkkokoodia, joka tuki ISA- ja PCMCIA-aikaista rautaa, ja mukana menevät vanhat SGI- ja IBM-ajurit. Kroah-Hartman on kieltänyt staging-alijärjestelmässä kielimallien tuottamat korjaukset, ellei kyse ole aidosta tietoturvakorjauksesta. Koodia, jota ei ole, ei tarvitse tarkistaa.

Miksi tämä koskee myös sinun puhelintasi

Linux-ydin ei ole harrastajien sivuprojekti. Se pyörii jokaisessa Android-puhelimessa, kotireitittimissä, autojen viihdejärjestelmissä, sähköverkon ohjauslaitteissa ja käytännössä kaikilla pilvipalvelimilla, joilla suomalaiset pankki-, terveys- ja viranomaispalvelut toimivat. Torvalds julkaisi ytimen ensimmäisen version Helsingin yliopiston opiskelijana vuonna 1991, ja elokuussa siitä tuli kuluneeksi 35 vuotta.

Kun korjausjono pitenee, pitenee myös aika, jonka haavoittuvuus ehtii olla auki laitteessa, jonka päivityksistä käyttäjä ei itse päätä. Korjaus voi olla ytimessä viikossa ja silti odottaa kuukausia sitä, että puhelinvalmistaja paketoi sen omaan päivitykseensä. Auto ei ehkä saa sitä koskaan. Kotimaisia haavoittuvuusilmoituksia vastaanottava Traficomin Kyberturvallisuuskeskus ohjeistaa löytäjiä koordinoituun julkistukseen, mutta senkin prosessi nojaa siihen, että ketjun toisessa päässä joku ehtii korjata.

Linuxilla on satoja palkattuja ylläpitäjiä, yritysten rahoitus ja oma tietoturvatiimi. Se on avoimen lähdekoodin maailman parhaiten resursoitu projekti, ja silti sen ylläpitäjät sanovat julkisesti olevansa ylikuormitettuja. Sama tekoälytyökalujen aalto osuu juuri nyt myös niihin kirjastoihin, joita ylläpitää yksi ihminen iltaisin työn jälkeen. Niistä ei tehdä konferenssidioja, joten emme näe niiden käyrää.