Linux內核新增文檔：何謂安全漏洞與負責任AI使用

Linux內核近日合併了新的文檔，旨在澄清哪些問題可以被視為安全漏洞，並規範使用人工智能（AI）工具進行漏洞發現的行為。該文檔由資深內核開發者Willy Tarreau編寫，隨着近期大量安全漏洞報告湧入內核社區，以及越來越多借助AI工具發現的漏洞和問題，這一補充性文檔顯得尤為必要。

關於安全漏洞的定義，文檔明確指出：安全列表僅適用於那些在正確配置的生產系統上，能夠賦予攻擊者本不應具有的能力，並且容易被利用、對大量用户構成直接威脅的緊急漏洞。大多數被錯誤歸類為安全漏洞的報告實際上只是普通漏洞，報告者缺乏對內核威脅模型的理解。文檔建議，不確定時應優先私下報告，但不要將普通問題發送到安全列表，以免消耗分類資源。

在AI輔助漏洞發現方面，文檔強調：如果藉助AI工具發現了漏洞，必須將其視為公開信息。安全團隊的經驗表明，這類漏洞往往在同一天被多個研究者發現。報告不應公開分享復現步驟，但可以提及可供維護者私下索取。

文檔對AI生成的報告提出了具體要求：報告應簡潔明瞭，避免冗長和多標記格式，務必轉換為純文本。報告必須包含經過測試的復現步驟，若無法提供則需質疑其有效性。AI工具還應提出補丁建議，並遵守補丁提交規範。此外，報告應評估實際影響，避免臆想理論後果。對於長期未維護的代碼或罕見硬件驅動等問題，可能不值得耗費維護者時間。

Willy Tarreau撰寫的這些新文檔已合併進入Linux Git倉庫，為即將發佈的Linux 7.1-rc4做準備。這些文檔不僅幫助報告者正確分類漏洞，也指導了AI工具的合理使用，減輕了維護者的負擔。內核社區希望藉此提高安全報告的質量，確保有限的分類資源用於真正重要的安全問題。