Linus Torvalds ชี้รายงานช่องโหว่จาก AI ทำให้การดูแลความปลอดภัยของ Linux “แทบจัดการไม่ไหว”

Torvalds ไม่ได้ปฏิเสธการใช้ AI ในการพัฒนา kernel เขายอมรับว่า AI สามารถช่วยวิเคราะห์โค้ดได้ แต่รายงานที่มีประโยชน์ต้องผ่านการตรวจสอบและเข้าใจปัญหาจริง ไม่ใช่เพียงคัดลอกผลลัพธ์จากเครื่องมือแล้วส่งต่อทันที เพราะสิ่งนั้นจะเพิ่ม “noise” มากกว่าช่วยแก้ปัญหา

ทำไมบั๊กที่ AI พบจึงถูกส่งซ้ำจำนวนมาก

เครื่องมือวิเคราะห์โค้ดสมัยใหม่ที่ใช้ AI สามารถสแกนโปรเจกต์ขนาดใหญ่ระดับ Linux kernel ได้อย่างรวดเร็ว แต่ข้อเสียคือหลายคนสามารถรันการสแกนเดียวกันในเวลาเดียวกัน

ผลที่เกิดขึ้นคือ

• นักวิจัยหลายคนพบช่องโหว่เดียวกันโดยอิสระ
• แต่ละคนส่งรายงานแยกกัน
• ผู้ดูแลต้องตรวจสอบรายงานทุกฉบับว่าปัญหานั้นมีอยู่จริงหรือไม่

เอกสารของ kernel ระบุว่าบั๊กที่ค้นพบด้วยวิธีนี้มัก “โผล่ขึ้นมาพร้อมกันจากนักวิจัยหลายคน บางครั้งในวันเดียวกัน” ทำให้ทีมต้องทำงาน triage ซ้ำ ๆ

ก่อนตอบรับรายงาน ผู้ดูแลต้องตรวจสอบว่า

• เป็นบั๊กจริงหรือไม่
• เป็นช่องโหว่ด้านความปลอดภัยจริงหรือไม่
• มีผลกับ kernel เวอร์ชันที่ยังรองรับอยู่หรือไม่
• ปัญหาถูกแก้ไปแล้วหรือยัง

แม้คำตอบจะเป็น “แก้ไปแล้ว” ก็ยังต้องมีคนตรวจสอบและตอบกลับอยู่ดี

เอกสารใหม่ใน Linux 7.1 สำหรับรายงานที่ใช้ AI

เพื่อลดภาระจากรายงานคุณภาพต่ำ Linux kernel ได้เพิ่มแนวทางใหม่ในเอกสารเกี่ยวกับการรายงาน security bugs โดยระบุวิธีใช้เครื่องมือ AI อย่างรับผิดชอบ

เอกสารใหม่นี้อธิบายหลายประเด็น เช่น

• กรณีใด ไม่ควรส่งอีเมลถึง mailing list ด้านความปลอดภัย
• บั๊กประเภทใด ไม่จำเป็นต้องจัดการแบบความลับ
• ข้อมูลขั้นต่ำที่รายงานที่ใช้ AI ต้องมี

นอกจากนี้ยังอธิบายให้ชัดขึ้นว่าอะไรจึงจะถือเป็นช่องโหว่ด้านความปลอดภัย โดยทั่วไปคือบั๊กที่ทำให้ผู้โจมตีสามารถได้สิทธิ์หรือความสามารถที่ไม่ควรมีบนระบบที่ตั้งค่าถูกต้องในสภาพการใช้งานจริง

จุดประสงค์คือป้องกันไม่ให้บั๊กทั่วไป ปัญหาเชิงทฤษฎี หรือปัญหาที่ถูกเปิดเผยไปแล้ว เข้าไปอยู่ในกระบวนการความปลอดภัยแบบปิดโดยไม่จำเป็น

มาตรฐานขั้นต่ำใหม่ของรายงาน

การเปลี่ยนแปลงที่สำคัญที่สุดคือการกำหนดหลักฐานที่ต้องมีอย่างชัดเจน

เอกสารของ kernel ระบุว่า รายงานช่องโหว่ทุกฉบับต้องระบุ ช่วงเวอร์ชันของ kernel ที่ได้รับผลกระทบ และเรียกข้อมูลนี้ว่า “จำเป็นอย่างยิ่ง” หากไม่มีข้อมูลเวอร์ชัน รายงานจะไม่ถูกดำเนินการต่อ

เหตุผลคือรายงานจำนวนมากในอดีตเป็นบั๊กที่ถูกแก้ไปแล้ว หากไม่มีข้อมูลเวอร์ชัน ทีมผู้ดูแลจะไม่สามารถตรวจสอบได้อย่างรวดเร็วว่าปัญหายังมีอยู่หรือไม่

โดยรวมแล้ว รายงานที่ใช้ AI ช่วยต้องมีมาตรฐานเดียวกับรายงานทั่วไป เช่น

• อธิบายปัญหาอย่างชัดเจน
• มีหลักฐานหรือ trace แสดงบั๊ก
• ตรวจสอบกับ kernel เวอร์ชันล่าสุด
• มีข้อมูลเพียงพอให้ผู้ดูแลสามารถทดสอบซ้ำได้

การส่งรายงานที่เป็นเพียงผลลัพธ์ดิบจาก AI โดยไม่มีการวิเคราะห์เพิ่มเติม มักจะไม่ผ่านเกณฑ์เหล่านี้

สิ่งที่เรื่องนี้สะท้อนต่อโลกโอเพ่นซอร์ส

เหตุการณ์นี้ชี้ให้เห็นการเปลี่ยนแปลงสำคัญในความปลอดภัยของซอฟต์แวร์

ปัญหาเริ่มเปลี่ยนจาก การค้นหาบั๊ก ไปเป็น การยืนยันและจัดการบั๊กจำนวนมหาศาล

AI สามารถสแกนโค้ดขนาดใหญ่และเสนอช่องโหว่ที่เป็นไปได้ได้เร็วกว่าที่มนุษย์จะตรวจสอบได้ ทำให้เกิดความไม่สมดุลใหม่ในกระบวนการรักษาความปลอดภัยของซอฟต์แวร์

ในทางปฏิบัติ สิ่งนี้หมายความว่า

• การค้นหาบั๊กทำได้ง่ายและรวดเร็วขึ้น
• การค้นพบซ้ำกลายเป็นเรื่องปกติ
• ความสามารถของมนุษย์ในการตรวจสอบกลายเป็นคอขวด

ชุมชน Linux จึงไม่ได้ปฏิเสธ AI แต่เลือกกำหนดมาตรฐานที่สูงขึ้น เพื่อให้รายงานที่ใช้ AI ช่วยมีหลักฐานและความเข้าใจเพียงพอก่อนจะใช้เวลาของทีมความปลอดภัย ซึ่งเป็นทรัพยากรที่มีจำกัด

พูดอีกแบบหนึ่งคือ AI อาจช่วย “หาบั๊ก” ได้เร็วขึ้น แต่ความรับผิดชอบในการ เข้าใจ ยืนยัน และแก้ไขปัญหา ยังคงเป็นหน้าที่ของมนุษย์ที่ส่งรายงานอยู่ดี