Torvalds zieht die Notbremse: KI-Bug-Reports machen Linux-Security-Liste unbeherrschbar

Linus Torvalds hat die private Security-Mailingliste des Linux-Kernels für „fast vollständig unbeherrschbar“ erklärt. Anlass war seine wöchentliche Statusmail zum Release Candidate 4 von Linux 7.1. Der Kernel-Chef begründet den Schritt mit einer anhaltenden Flut KI-generierter Bug-Reports, die zu großen Teilen Duplikate sind. Parallel hat das Projekt seine Sicherheitsdokumentation überarbeitet. Mit KI-Tools gefundene Schwachstellen gehen künftig auf den öffentlichen Kanal.

Die Diagnose ist deutlich, der Bruch im Entwicklungsprozess ebenso. Was bislang als Hintergrundrauschen galt und im April 2026 bereits zu KI-generiertem Spam im Linux-Kernel führte, hat nun eine neue Eskalationsstufe erreicht. Torvalds greift jetzt persönlich ein und ändert die Spielregeln.

Was Torvalds in der RC4-Mail wirklich gesagt hat

Die Mail zum Release Candidate 4 vom 17. Mai 2026 liest sich zunächst routiniert. Treiber machen rund die Hälfte des Patches aus. Wie üblich stehen GPU-Treiber dabei ganz oben auf der Liste. Dazu kommen diverse Netzwerk-, Filesystem- und Architektur-Updates.

Erst beim Verweis auf die neue Dokumentation wird Torvalds deutlich. Die fortgesetzte Flut von KI-Reports habe die Security-Liste praktisch unbeherrschbar gemacht. Verschiedene Menschen fanden mit denselben Werkzeugen immer wieder dieselben Probleme.

Das eigentliche Problem ist nicht die KI selbst, sondern der Prozess drumherum. Wartende (Maintainer) verbringen ihre Zeit damit, Meldungen weiterzuleiten oder auf bereits behobene Fehler zu verweisen. Er nennt das „vollkommen sinnlosen Leerlauf“. Wer wirklich einen Mehrwert beitragen möchte, sollte die Dokumentation lesen, einen Patch erstellen und die KI-Ausgabe mit eigener Analyse, Kontext oder Korrekturen anreichern. Drive-by-Reports ohne echtes Verständnis seien das Gegenteil davon.

Anzeige

Von zwei bis drei Reports pro Woche auf fünf bis zehn pro Tag

Wie dramatisch die Lage ist, zeigt eine einzige Zahl. Willy Tarreau hat die Entwicklung bereits im März 2026 auf der Plattform LWN beziffert. Tarreau ist Schöpfer des Webservers HAProxy und langjähriger Maintainer der stabilen Kernel-Versionen. Tarreau hat die neue Sicherheitsdokumentation zudem selbst verfasst, die mit Linux 7.1 ausgeliefert wird.

Vor zwei Jahren habe die Security-Mailingliste zwei bis drei Berichte pro Woche erhalten. Heute landeten dort fünf bis zehn pro Tag. Tarreau betont, dass die meisten Funde solide sind. Das eigentliche Problem ist nicht Qualität, sondern Redundanz. Mehrere Forschende fahren die gleichen Modelle gegen denselben Code.

Sie finden dieselben Bugs und reichen sie unabhängig voneinander auf einer privaten Liste ein. Dort sieht niemand, was bereits gemeldet wurde. Auch OpenClaw kämpft mit einem ähnlichen Problem. Peter Steinbergers ClawSweeper setzt genau dort an: Der automatisierte Wartungs-Bot scannt das öffentliche OpenClaw-Repository mit 50 parallelen Codex-Instanzen und schlägt nur bei eindeutiger Beleglage vor, ein Ticket zu schließen.