Linux, qualcosa sta cambiando: Linus Torvalds dice che la pressione AI sta scendendo

Per mesi, l’intelligenza artificiale ha contribuito a far emergere un numero crescente di vulnerabilità nel kernel Linux, costringendo gli sviluppatori a un lavoro di verifica e correzione particolarmente intenso. Ora, però, qualcosa potrebbe cambiare. Linus Torvalds ha segnalato i primi indizi di un possibile rallentamento della pressione esercitata dalle nuove segnalazioni: almeno in un importante sottosistema, le correzioni procedono ormai più velocemente dell’arrivo dei nuovi rapporti sui bug.

La notizia arriva con il rilascio di Linux 7.4-rc2, la seconda versione candidata del kernel 7.4, annunciata l’8 novembre 2026. Si tratta di un passaggio interessante soprattutto alla luce di quanto accaduto durante l’anno. L’impiego di modelli AI per l’analisi del codice sorgente ha accelerato la scoperta di difetti anche molto vecchi, aumentando contemporaneamente il carico di lavoro dei manutentori. Ad aprile, la presentazione di Claude Mythos Preview da parte di Anthropic aveva ulteriormente richiamato l’attenzione sulle capacità dell’AI nella ricerca delle vulnerabilità.

Il kernel Linux, con oltre 40 milioni di righe di codice, offre una superficie di analisi enorme. La difficoltà non consiste soltanto nell’individuare un errore, ma nel comprenderne le condizioni di sfruttamento, verificare che la segnalazione non sia un duplicato e preparare una correzione che non comprometta il funzionamento di altri componenti. Proprio su questo equilibrio tra scoperta e correzione si concentra la nuova osservazione di Torvalds.

Linux 7.4-rc2: cosa ha osservato Linus Torvalds

Nel messaggio pubblicato sulla Linux Kernel Mailing List, Torvalds descrive Linux 7.4-rc2 come una release candidate piuttosto corposa.

Una parte delle modifiche deriva da trasformazioni automatizzate realizzate con Coccinelle, strumento di analisi e modifica del codice C che utilizza regole semantiche per individuare strutture ricorrenti e applicare interventi coerenti su più file. Non si tratta di un modello linguistico generativo: Coccinelle lavora attraverso regole esplicite e permette di automatizzare operazioni che altrimenti richiederebbero numerosi interventi manuali.

La quantità di righe modificate non rappresenta da sola un indicatore della gravità dei problemi risolti. Molte modifiche interessano porzioni minime di codice, ripetute in un gran numero di file.

Il passaggio più interessante riguarda le correzioni associate alle segnalazioni assistite dall’AI: Torvalds riferisce che, secondo Alexei Starovoitov, uno dei principali sviluppatori di eBPF, nel sottosistema BPF le patch arrivano ormai più rapidamente dei nuovi bug report.

I modelli AI non hanno certo improvvisamente smesso di individuare nuove vulnerabilità nell’intero kernel: Torvalds ha però notato un’inversione della tendenza, almeno limitatamente a eBPF. Non è detto che gli altri sottosistemi del kernel abbiano raggiunto la stessa condizione ma il segnale resta incoraggiante: potrebbe indicare che gli sviluppatori stanno finalmente recuperando parte del lavoro accumulato.

Dal sovraccarico di maggio ai primi segnali di recupero

La dichiarazione di novembre assume un significato particolare se confrontata con le precedenti prese di posizione di Torvalds.

A maggio 2026, come avevamo raccontato nell’articolo Linus Torvalds accusa l’AI di rendere ingestibile la sicurezza Linux, il creatore del kernel aveva denunciato l’elevato numero di segnalazioni ripetute generate dagli strumenti di analisi automatizzata.

La difficoltà principale non riguardava soltanto la scoperta di vulnerabilità autentiche. Diversi ricercatori potevano analizzare gli stessi sorgenti, individuare problemi già conosciuti e inviare rapporti sostanzialmente identici. Ogni segnalazione richiedeva comunque tempo per verificare la riproducibilità del difetto, individuare il componente responsabile e accertare l’eventuale presenza di correzioni già disponibili.

Durante l’Open Source Summit North America, Torvalds aveva inoltre discusso l’effetto degli strumenti AI sul ritmo dello sviluppo Linux. Nell’approfondimento Linus Torvalds sull’AI nel coding: sta aiutando Linux, ma crea anche nuovi problemi avevamo esaminato l’aumento dei contributi e le conseguenze sulla revisione del codice.

Il messaggio relativo a Linux 7.4-rc2 introduce un elemento nuovo rispetto a quelle analisi: non si limita a descrivere l’aumento delle segnalazioni, ma individua un sottosistema nel quale il rapporto tra problemi comunicati e correzioni disponibili potrebbe aver cominciato a migliorare.

La svolta vista da Torvalds è ancora da confermare

Le parole di Linus Torvalds non certificano di certo la fine dell’ondata di vulnerabilità scoperte attraverso l’uso di modelli AI: suggeriscono invece un possibile riequilibrio in una porzione specifica del kernel, mentre molti altri componenti continuano a richiedere un’intensa attività di manutenzione.

Il segnale proveniente da eBPF resta comunque significativo. Se la capacità di correggere i problemi riuscisse a superare stabilmente il ritmo delle nuove segnalazioni anche negli altri sottosistemi, il contributo dell’AI potrebbe tradursi in una riduzione progressiva dei difetti ancora presenti nel codice e non in un'”emergenza continua”.

L’analisi automatizzata continuerà a migliorare e potrebbe scoprire nuove classi di vulnerabilità, facendo nuovamente crescere il numero dei report inviati ai maintainer. La vera misura del progresso sarà quindi la capacità degli sviluppatori di mantenere sotto controllo il lavoro arretrato senza sacrificare la qualità delle verifiche.

L’immagine di copertina è generata con un modello AI.