CIW - Folge 183 - 17.06.2026 - KIrnel

• Wir begrüssen alle Vibe-Coder zur Folge 183 von "Captain it's Wednesday", dem Podcast über Freie Software und Freie Gesellschaft von GNU/Linux.ch, aufgenommen am 15. Juni von Lioh Möller und Ralf Hersel. In dieser Folge reden wir über die Auswirkungen von KI-generierten Fehlerberichten auf den Linux-Kernel und auf andere Projekte.

Hausmitteilungen

• Vielen Dank für eure zahlreiche Teilnahme an unserem Frühlingswettbewerb über Heimautomatisierung. Wir sind dabei, eure Einreichungen auszuwerten, und werden in Kürze die Gewinner:innen in einem Artikel bekanntgeben.

Thema: KI und der Linux-KernelAusgangslage

• Dirk Hohndel interviewt Linus Torvalds beim Open Source Summit am 18. Mai in Minnesota.
• Seit sechs Monaten werden sehr viel mehr Bug Reports auf der Security Mailing List gemeldet als in den 25 Jahren zuvor. Zwar gab es bei Major-Releases auch früher eine höhere Anzahl, aber nicht in dem Ausmass wie jetzt.
• Der Anstieg lässt sich auf KI-generierte Bug Reports zurückführen. Die Security List ist nicht öffentlich. Jeder kann dort Bugs posten, aber niemand sieht, welche anderen Bugs geposted wurden. Das ist richtig im Sinne der Responsible Disclosure.
• Doch Torvalds bemerkt, dass Bugs, die durch KI gefunden wurden, per Definition öffentlich sind, weil sie theoretisch jeder finden kann. Daraus ergibt sich ein Widerspruch zur geheimen Security List.
• Zudem bemerkt er, dass Security Forscher einen Hang zur Selbstdarstellung haben. Es werden Bugs veröffentlicht, um sich selbst ins Rampenlicht zu rücken. Ohne den Entwicklern genug Zeit zu geben, die Bugs zu beheben.
• Das Auffinden von Fehlern durch KI ist kein Problem von Open Source, sondern genauso von Closed Source. Der KI ist es egal, ob der Quellcode vorliegt oder nicht. Der Konflikt besteht nicht darin, dass KI Fehler finden kann, sondern darin, dass es soziale Schwachstellen gibt, wie damit umgegangen wird.
• Bemängelt wird, dass die Bug-Reports nur in seltenen Fällen Patches enthalten.
• Die Maintainer sind mit der Flut von KI-generierten Bug Reports überlastet. Torvalds sieht weniger ein Kapazitätsproblem von den 1000 Kernel-Entwicklern, die anständig bezahlt werden, sondern bei den kleineren Projekten, die oft nur von Einzelpersonen oder einem kleinen Team gepflegt werden (siehe cURL).
• Das Kernel-Team verwendet selbst KI-Tools, wie z. B. Shashiko, um die Bug-Reports zu beurteilen. Doch die Qualität dieses Tools ist nicht besonders gut.
• Torvalds lehnt KI als Werkzeug für die Code-Generierung nicht ab, stellt sie aber in eine Reihe von Entwicklungen. Während KI die Produktivität um den Faktor 10 steigert, steigern Compiler die Produktivität um den Faktor 1000.
• Vibe-Coding schliesst das Verständnis des Codes aus. Wer Projekte langfristig pflegen möchte, kommt um das Verständnis des Codes nicht herum, egal ob generiert oder selbst geschrieben.

Einordnung

• Diese Entwicklung stellt uns schlagartig vor neue Realitäten. Prozesse, die zuvor geordnet im Hintergrund liefen, in Koordination mit den Distributionen, sind nun vollständig transparent. Es kommt einerseits einer Kapitulation gleich, andererseits ist es möglicherweise einfach eine Anpassung an neue Realitäten.
• Für Distributoren bedeutet dies, dass etablierte Patch-Bereitstellungsprozesse überdacht und beschleunigt werden müssen. Aus Anwender- und Administrator_innen-Perspektive bedeutet es, dass Patching möglichst automatisiert stattfinden sollte. Aus Softwaresicht kann es darauf hinauslaufen, dass wir zeitnah selbstheilende Programme vorfinden werden, die in der Lage sein werden, dynamisch auf Anforderungen und Bedrohungen zu reagieren.
• Es ist eine Frage der Geschwindigkeit. Das Patch-Fenster wird immer kürzer, wenn pressegeile Bug-Reporter den Projekten nicht genug Zeit zum Beheben der Fehler lassen.
• Mit aktuellen LLMs (z. B. Anthropic Mythos oder Fable) erhalten Kriminelle Werkzeuge in die Hand, die Maintainer dazu zwingen, mit denselben Tools ihre Software abzusichern, bevor die Gegenspieler zuschlagen können. Problem: 1 Tag Fable (per Token abgerechnet) kostet ca. 1’000 Dollar pro produktivem Tag.
• Mir gefällt Liohs Idee der selbstheilenden Programme. Doch wenn damit der teure Einsatz von KI zur vorherigen Überprüfung des Codes verstanden wird, ist es falsch gedacht. Damit entspinnt sich ein kostenintensives Katz-und-Maus-Spiel. Ich sehe die Kur eher in einer neuen Generation von Programmiersprachen, Compilern und Distributionsketten, die auf fehlerfreien Code optimiert sind. Mir ist klar, dass es so etwas bisher nicht gibt und vielleicht nie geben wird.

Outro

Euer Feedback zählt! Kommentiert zur Podcast-Folge oder schreibt uns einfach über Matrix, Mastodon oder per E‑Mail. Nehmt aktiv an der Community teil. Ihr könnt Artikel schreiben, Themen diskutieren oder selbst beim Podcast mitmachen. Bei GNU/Linux.ch wird eure Stimme nicht nur gelesen, sondern auch gehört.

Quellen

• https://www.youtube.com/watch?v=fi29pfLcW4I (ACHTUNG: YouTube)
• https://logbuch-netzpolitik.de/lnp551-schoene-fotos-vom-weltuntergang