Linus Torvalds Acabou de Dizer ao Mundo: Você é o Responsável por Cada Linha de Código de IA no Kernel Linux

• Agentes de IA não podem adicionar a tag Signed-off-by. Esta tag é o Certificado de Origem do Desenvolvedor (DCO, na sigla em inglês), um documento legalmente vinculativo, e a política é explícita ao afirmar que apenas um humano pode certificá-lo legalmente . Uma IA não tem qualquer legitimidade jurídica.
• Uma nova tag Assisted-by é recomendada, mas não obrigatória. A política encoraja, mas não exige, que os desenvolvedores revelem quando usaram uma ferramenta de IA . O objetivo é a transparência, não uma regra rígida.
• Humanos assumem total responsabilidade legal e técnica. A pessoa que submete o patch é responsável por cada linha de código gerada por IA e por quaisquer bugs ou vulnerabilidades de segurança resultantes . Não há exceções.
• A compatibilidade de licenças é inegociável. Todo código produzido por IA nas contribuições deve ser compatível com a licença GPL-2.0-only do kernel . Esta é uma salvaguarda contra uma possível contaminação de licenças por modelos de IA treinados com códigos de licenças conflitantes.

A abordagem de Torvalds é caracteristicamente direta. Ele classificou os debates intermináveis sobre IA na documentação como "pose inútil" e afirmou que a documentação é para "atores de boa-fé", não para as pessoas que enviariam spam de IA de qualquer maneira . A verdadeira defesa, argumenta ele, é que "qualquer um pode enviar lixo, mas os mantenedores podem ignorá-lo" . Esta política, portanto, foi desenhada para equipar esses mantenedores — não para deter maus atores, mas para criar uma estrutura onde os bons ajam com responsabilidade.

A Gota D'Água: Uma Inundação "Ingerenciável" de Spam de Bugs por IA

Se a política de submissão de código foi proativa, a regra de relato de segurança foi uma reação direta a uma crise. Em maio de 2026, Torvalds anunciou publicamente que a lista de e-mails de segurança privada do kernel Linux havia se tornado "quase completamente ingerenciável" . A causa foi um volume avassalador de relatórios de vulnerabilidade gerados por IA.

Não eram descobertas de alta qualidade. Eram relatórios superficiais, frequentemente duplicados ou completamente alucinados, vindos de pessoas que não entendiam o código que afirmavam estar analisando . Torvalds os descreveu como contribuições de "colaboradores de passagem", que disparam um relatório e desaparecem, sem verificar se o problema já foi corrigido ou mesmo sem entender o subsistema em questão .

A documentação atualizada agora determina uma regra simples: se você encontrar um possível bug usando uma ferramenta de IA, deve reportá-lo publicamente ao mantenedor relevante. Os relatórios estão banidos da lista de segurança privada e devem estar em texto simples, ser concisos e incluir um método verificado para reproduzir o bug . A preferência de Torvalds é ainda mais forte: ele quer que os colaboradores que encontrarem problemas reais entendam o problema a fundo e submetam um patch para corrigi-lo, não apenas enviem um relatório .

As Três Dores de Cabeça que a IA Representa para o Código Aberto

As duas políticas do kernel Linux são um microcosmo dos desafios maiores que o código gerado por IA apresenta para todos os projetos de código aberto. A crise na lista de segurança e a regra de responsabilidade estrita destacam três problemas sistêmicos.

1. Esgotamento dos Mantenedores em Escala

A manutenção de código aberto já é uma atividade de alto desgaste e com largura de banda de revisão limitada. As ferramentas de IA multiplicam o volume de submissões por ordens de magnitude, mas o número de horas humanas disponíveis para avaliá-las permanece fixo . A relação sinal-ruído desmorona. A resposta do kernel é uma aposta na triagem: tornar as regras claras o suficiente para que contribuições de baixa qualidade geradas por IA possam ser descartadas rapidamente e sem remorso.

2. O Vácuo de Responsabilidade

A garantia de qualidade tradicional do código aberto depende da reputação do desenvolvedor e do compromisso legal do DCO. Um agente de IA não fornece nenhum dos dois. Ele pode produzir código que parece correto, mas está sutilmente errado ou foi plagiado. A solução do kernel é ancorar toda a responsabilidade no desenvolvedor humano, tornando impossível culpar uma IA por um patch desastroso . No entanto, isso coloca um fardo de governança sobre o humano que muitos projetos menores e menos estruturados podem achar difícil de replicar ou fazer cumprir.

3. Uma Encruzilhada para os LLMs: Copilot Entra, "Lixo" Fica de Fora

Um detalhe notável da nova política é uma exceção específica: o GitHub Copilot, um assistente de programação com IA da Microsoft, tem seu uso explicitamente aprovado para contribuições ao kernel . A distinção feita pelos mantenedores não é entre "IA" e "humano", mas entre o desenvolvimento assistido cuidadoso e a automação irresponsável. O termo "lixo de IA" (do inglês AI slop) tornou-se uma abreviação oficial para esta última prática . Isso cria uma realidade nova e desconfortável para os colaboradores, onde a mesma ferramenta pode ser usada de forma responsável ou negligente, cabendo apenas à confiança da comunidade no desenvolvedor humano para diferenciar os dois casos. A nova política não resolve totalmente este problema — ela transfere a responsabilidade para o desenvolvedor e o mantenedor resolverem por conta própria .