9月6日、pbxscience.comが「Linux Kernel CVE Counts Approach 2,000 Per Release as AI Tools Flood Maintainers With Fixes」と題した記事を公開した。AIツールが大量のパッチをLinuxカーネルメンテナーに送りつける結果、リリースごとのCVE修正数が急増しており、長年安定していた「約500件」という水準が崩れつつある。長年カーネルを支えてきたメンテナーたちは、機械生成パッチの洪水を前に対応体制の再構築を迫られている。

リリースあたりのCVE数が2,000に迫る

Linuxカーネルの各リリースで修正されるCVE（Common Vulnerabilities and Exposures：共通脆弱性識別子。ソフトウェアの脆弱性を一意に識別するための国際標準的な番号体系）の数が、過去1年で急激に増加している。

長年にわたり、Linuxカーネルの1リリースあたりのCVE修正数は約500件で安定していた。ところが元記事によると直近のリリースでは1,000件超に跳ね上がり、その後1,500件超に達した。現在の軌跡をたどると、次のリリースでは2,000件を超える可能性があるとされる（※元記事ではLinux 7.0〜7.3という表記が使われているが、2026年9月時点でLinux 7系が正式リリースされているかどうかは確認が取れていない。バージョン表記は元記事の記述に基づいており、実際のリリース番号とは異なる可能性がある）。

この傾向を指摘したのは、Linux Foundationフェローであり長年Linuxスタブルカーネルのメンテナーを務めるGreg Kroah-Hartmanだ。今月末にパリで開催されるKernel Recipesカンファレンスでの講演に向けたスライドのプレビューとして、この動向を示した。

Kroah-Hartmanの見立てでは、CVE数の急増はカーネルが突然脆弱になったためではない。AIや大規模言語モデル（LLM）のツールが、約4,000万行に及ぶカーネルのコードベースを大規模にスキャンし、長年見過ごされてきたバグ——特に古いドライバコード——を掘り起こしているのが原因だ。

「完全に圧倒されている」ネットワーキングチームの実態

最も強い影響を受けているのが、カーネルのネットワーキングサブシステムだ。

直近のネットワーキング変更がマージされた際、メンテナーのJakub Kicinskiは、バグ修正パッチ（"net"）が632件、機能追加パッチ（"net-next"）が648件と、両者がほぼ同数になったと報告している。通常、修正と機能追加のストリームがこれほど拮抗することはない。Kicinskiの見立てでは、net-nextパッチの3分の1から半分程度がAI由来の低優先度の修正やクリーンアップであり、実質的な技術的判断を伴わないものだという。

「もちろん、私たちは完全に圧倒されています。」

ただし、ネットワーキングチームは機械生成のパッチを単純に拒否する方向には進んでいない。Kicinskiによれば、チームはMetaの支援を受けてフロンティアモデルへのアクセス予算を確保し、人間がレビューする前に複数のAIモデルでパッチを事前審査する体制を構築しつつある。AIが生成したハルシネーション（幻覚的な出力）や低品質な変更を事前にフィルタリングするためだが、自動レビューには限界があるとKicinskiは注意を促している。

「誰も使っていない」古いドライバの削除論が浮上

AIによるバグ報告の急増は、数十年前のハードウェア向けコードを維持し続けることの是非を問い直すきっかけにもなっている。

今年4月、カーネル開発者のAndrew Lunnは、ISAやPCMCIAバス向け（主に1990〜2000年代初頭のハードウェアに対応した）イーサネットドライバをまとめて削除する提案を行った。削減対象は約2万8,000行に上る。誰もほぼ使っていない古いドライバの問題をAIが次々と発掘し続けるなかで、そこに修正を当てるよりも削除した方が合理的という判断だ。同様のクリーンアップは、旧来のISDNやアマチュア無線ネットワーキングのコードでも実施されている。

実際のセキュリティリスクは限定的

CVE数の急増は数字のインパクトこそ大きいが、一般ユーザーへの実害は限定的だという見方が大勢を占めている。

Linuxカーネルを継続的に追うPhoronixなどのメディアも、新たに発見される脆弱性の大半は古い・マイナーなドライバに集中しており、現代的なシステムが日常的に使うコードパスには関係ない低優先度の問題だと指摘している。4,000万行を超えるコードベースを前提とすれば、AI支援の解析が今後もさらに多くの長期休眠バグを掘り起こし続けることは確実であり、CVE数は増え続ける一方でカーネル全体のセキュリティ水準は大きく変わらない、というのが現在の共通認識だ。

Kroah-Hartmanの詳細な講演は、9月21〜23日にパリで開催されるKernel Recipes 2026で予定されており、最終的な数字が共有される見込みだ。Kernel Recipesは欧州を中心としたLinuxカーネル開発者向けの実務的なカンファレンスで、Kroah-HartmanやLinus Torvaldsといったコアメンテナーが毎年登壇することで知られている。

詳細はLinux Kernel CVE Counts Approach 2,000 Per Release as AI Tools Flood Maintainers With Fixesを参照していただきたい。