Linuxカーネル、セキュリティバグの定義と責任あるAI利用に関するドキュメントを追加

Linuxカーネルは先日、セキュリティバグの定義とAIを利用したバグ発見に関する責任ある行動を定めた新しいドキュメントをマージしました。このドキュメントは長年の開発者であるWilly Tarreauによって執筆され、近年セキュリティバグ報告が急増していること、およびAIツールによるバグ発見が増加していることを受けて作成されました。

セキュリティバグの定義について、ドキュメントは明確に述べています：セキュリティリストは、正しく設定された本番システムにおいて、攻撃者に本来持つべきでない能力を与え、容易に悪用可能で、多くのユーザーに差し迫った脅威をもたらす緊急のバグにのみ使用されるべきです。セキュリティバグとして誤って報告されるバグの大部分は単なる通常のバグであり、報告者がカーネルの脅威モデルを理解していないことが原因です。ドキュメントは、不明な場合は非公開で報告することを推奨しますが、通常のバグをセキュリティリストに送ることは避けるべきだと述べています。

AIによるバグ発見に関して、ドキュメントは次のように強調しています：AIツールを使用してバグを発見した場合、そのバグは公開情報として扱わなければなりません。セキュリティチームの経験によれば、このように発見されたバグはしばしば同じ日に複数の研究者によって同時に表面化します。報告書には再現手順を公開せず、必要に応じてメンテナーに非公開で提供する旨を記載すべきです。

AI生成レポートに関する具体的な要件として、ドキュメントは次の点を挙げています：レポートは簡潔で、マークダウンタグを使わずプレーンテキストに変換すること。テスト済みの再現手順を含め、再現できない場合は報告の妥当性を疑うこと。AIツールに修正案を生成させ、テストすること。影響評価は脅威モデルに基づき、理論上の憶測を避けること。長期にわたってメンテナンスされていないコードや希少なハードウェアに関する問題は、メンテナーの時間を費やす価値がない可能性がある。

Willy Tarreauによるこれらの新しいドキュメントは、Linux Gitリポジトリにマージされ、今週末にリリース予定のLinux 7.1-rc4に先立って利用可能になりました。これらのドキュメントは、報告者がバグを正しく分類し、AIツールを責任を持って使用するための指針を提供し、メンテナーの負担を軽減することが期待されています。カーネルコミュニティは、これによりセキュリティ報告の品質が向上し、限られたトリアージリソースが真に重要な問題に集中できるようになることを目指しています。