9月3日、TechSpotが「AI is finding thousands of bugs in Linux, and maintainers can barely keep up」と題した記事を公開した。AIによる大量のバグ検出がLinuxカーネルのメンテナンス体制を限界まで追い詰めている実態について詳しく紹介されている。

AIがLinuxカーネルの脆弱性を爆発的に増やしている

中国のAI企業Z.aiが開発した大規模言語モデルGLM-5.3が、Linuxカーネルを含む主要なオープンソースプロジェクトで1,000件以上の重大な脆弱性を新たに発見した。なお、元記事のURLタイトルには「AI finds 1500 vulnerabilities」とあるが、本文中の具体的な言及では「GLM-5.3が1,000件以上」という数字が用いられており、1,500という数字はZ.ai以外のAIシステムによる検出件数も含めた累積値とみられる。これは今年に入ってから他のAIシステムが検出した数千件の脆弱性に追加される形だ。

この大量報告の影響は数字に如実に表れている。Linuxカーネルリリースごとに修正されるCVE（Common Vulnerabilities and Exposures：ソフトウェアの脆弱性を一意に識別・管理するための共通識別子）の数が、これまでの約500件/リリースから最大で約2,000件/リリース規模へと急増している。

Kroah-HartmanとTorvaldsが警鐘

LinuxカーネルメンテナであるGreg Kroah-Hartmanは、9月上旬にパリで開催される「Kernel Recipes 2026」に向けて、直近のカーネルリリースにおけるCVE数の急増ぶりをグラフで公開した。

グラフによれば、バージョン6.9〜6.19の間は平均約500件/リリースで推移していた。Linuxカーネルはバージョン6系の後、現在7系（7.0以降）のリリースが進行しており、Linux 7.0以降は約1,000件/リリースに跳ね上がり、7.2では1,500件超を記録した。7.3ではさらに2,000件を超える可能性があるという（※これは予測段階の記述であり、現時点での確定値ではない）。

Linus Torvaldsも今年5月のLinux 7.1-rc4リリースノートで、カーネルのセキュリティ非公開メーリングリストが「ほぼ完全に管理不能になっている」と警告している。報告件数は2年前の週2〜3件から、2026年には毎日5〜10件にまで増加した。

「2,000件規模の脆弱性」は何を意味するか

Linuxはコンシューマー・商用・産業用IoTデバイスの大半が直接・間接的に採用するOSだ。カーネルのソースコードは約4,000万行に上り、まだ発見されていない脆弱性が数千件単位で潜んでいる可能性がある。

ただし、検出されたCVEの大多数は低優先度のもの、または廃止済みドライバーや非推奨機能に関するものだ。実際、AIによる大量報告が引き金となり、メンテナたちは長年放置されていた古いドライバー群とISDNサブシステム全体（複数のCVEを抱えていた）を一気に削除するという整理作業に踏み切っている。

問題の本質：AIの速度に人間が追いつけない

数が増えること自体は悪ではない。問題はAIが脆弱性を発見するスピードに、人間のメンテナがレビュー・トリアージ・修正する速度が追いつかないという非対称性にある。

AIコードレビュープラットフォームやLLMの能力が向上し続ける中、この非対称性は今後さらに拡大する可能性が高い。Linuxカーネル開発のような分散型・ボランティア駆動のOSSコミュニティにとって、「バグが見つかる速度」と「直せる速度」のギャップは構造的な課題となっている。

※編集部の考察：CVEの大量発行はトリアージコストの増大を意味し、真に危険な脆弱性が埋もれるリスクも生む。「AIが見つける」次のステップとして「AIが優先度付けして修正案まで出す」仕組みの整備が、コミュニティにとっての現実的な次の論点になりうる。

詳細はAI is finding thousands of bugs in Linux, and maintainers can barely keep upを参照していただきたい。