Linux-Kernel: Linus Torvalds stoppt KI-Code-Flut

Während AlmaLinux und CloudLinux zeitgleich stabile Versionen veröffentlichen, kämpfen die Kernel-Entwickler gegen eine nie dagewesene Welle automatisierter Code-Einreichungen. Linus Torvalds schlägt Alarm.

Wer angesichts der aktuellen Entwicklungen selbst auf ein stabiles und sicheres System setzen möchte, findet im kostenlosen Linux-Startpaket den idealen Einstieg. Testen Sie Ubuntu risikofrei parallel zu Windows und erleben Sie mehr Geschwindigkeit ohne Lizenzkosten. Jetzt kostenloses Linux-Startpaket inklusive Ubuntu-Vollversion sichern

AlmaLinux und CloudLinux: Doppelschlag für Unternehmen

Erstmals in der Projektgeschichte brachten die AlmaLinux-Entwickler zwei stabile Versionen gleichzeitig an den Start. Am 26. Mai 2026 erschienen AlmaLinux 10.2 (Codename „Lavender Lion") und AlmaLinux 9.8 („Olive Jaguar") mit aktualisierten Toolchains und erweiterter Hardware-Kompatibilität.

Die Version 10.2 basiert auf Kernel 6.12.0-211.7.3 und führt moderne Software-Stacks ein – darunter Python 3.14, PostgreSQL 18 und MariaDB 11.8. GNOME 49 ist ebenso an Bord wie die Unterstützung für i686-Userspace-Pakete und Btrfs-Boot. Für ältere Hardware gibt es erweiterte Treiber für Speicher und Netzwerke.

Nur einen Tag später zog CloudLinux 10.2 nach. Die Distribution baut direkt auf AlmaLinux auf und integriert den LVE-Stack, mod_lsapi sowie Selektoren für verschiedene Programmiersprachen. Der Support ist bis 2035 garantiert. Anders als früher gibt es keine eigenständigen ISO-Images mehr – die Installation erfolgt über ein AlmaLinux-Basissystem und ein Deployment-Skript. GCC Toolset 15 sowie aktualisierte Toolsets für Rust, Go und LLVM runden das Paket für Webhosting-Umgebungen ab.

Btrfs und Thunderbolt: Technische Meilensteine

Auch im Upstream-Kernel tut sich etwas. SUSE-Entwickler integrierten am 26. Mai die Unterstützung für Huge Folios in das Btrfs-Dateisystem. Speicherseiten von bis zu 2 MB sollen den I/O-Durchsatz verbessern und System-Overhead reduzieren – der Merge in Linux 7.2 steht bevor.

Parallel dazu arbeiten Intel-Entwickler an einem neuen USB4STREAM-Protokoll und dem Treiber „thunderbolt_stream". Damit lassen sich zwei Rechner direkt über USB4 oder Thunderbolt verbinden – ohne klassischen Netzwerk-Stack.

Torvalds' Warnung: „Die KI-Flut erstickt den Kernel"

Während die Distributionen modernisieren, brodelt es im Kern des Projekts. Linus Torvalds zeigte sich am 24. Mai tief besorgt über die Größe des Release Candidates Linux 7.1-rc5. Ein erheblicher Teil der Patches stamme von KI-Code-Review-Tools wie GitHub Copilot und Claude Code. „Die RC-Phase sollte der Stabilität dienen", so Torvalds, „nicht der Einarbeitung trivialer Fixes, die keine kritischen Probleme lösen."

Zwei Tage später verschärfte er den Ton: KI-generierte Bug-Reports und Kleinpatches würden den gesamten Release-Prozess stören. Torvalds kündigte an, nicht-kritische Pull-Requests künftig rigoros abzulehnen. Solche Beiträge gehörten in den linux-next-Zweig für künftige Merge-Fenster. Bereits bei Linux 7.0 hatten KI-Assistenten für eine ungewöhnlich hohe Änderungsflut gesorgt.

Curl unter Beschuss: Über 60 Sicherheitslücken erwartet

Das Problem automatisierter Beiträge trifft auch andere Open-Source-Projekte hart. Daniel Stenberg, Gründer von curl, berichtete am 26. Mai von einer beispiellosen Flut an Sicherheitsmeldungen. Die Rate liege mehr als doppelt so hoch wie 2025 – täglich gehe mehr als ein Report ein. Zwölf Schwachstellen warten auf den nächsten Release. Stenberg rechnet für 2026 mit über 60 CVEs, auch wenn alle aktuellen Funde als niedrig oder mittelschwer eingestuft sind. Die Belastung für die Maintainer sei physisch und professionell enorm.

Rust als Rettungsanker: „80 Prozent der CVEs vermeidbar"

Greg Kroah-Hartman, Maintainer des stabilen Kernel-Zweigs, sieht in Rust eine strategische Waffe gegen die KI-gestützte Schwachstellensuche. Auf der Rust Week in Utrecht am 27. Mai erklärte er: „KI-Scanner finden Software-Fehler schneller, als Menschen sie patchen können." Derzeit gebe das Kernel-Team rund 13 CVEs pro Tag heraus – darunter jüngst „Dirty Frag" und „Fragnesia".

Rusts Speichersicherheit und Locking-Abstraktionen könnten die meisten dieser Probleme eliminieren. Durch Sicherheitsprüfungen bereits zur Compile-Zeit verhindert Rust Speicherfehler und Synchronisations-Bugs, die C-Code plagen. Kroah-Hartman schätzt: Würde der Kernel alle Eingaben als potenziell unsicher behandeln und Rusts Sicherheitsfeatures nutzen, ließen sich bis zu 80 Prozent der typischen Kernel-CVEs vermeiden.

Während Profis über die Sicherheit von Kernel-Strukturen debattieren, können Heimanwender ganz einfach von der Stabilität von Linux profitieren. Dieser kostenlose Guide zeigt Ihnen, wie Sie Ubuntu ohne Installation direkt vom USB-Stick starten und völlig risikofrei testen. Kostenlosen PDF-Report zum Ubuntu-Boot-Stick hier herunterladen

Der Umbau läuft – schleichend. Aktuell enthält der Kernel rund 36 Millionen Zeilen C gegenüber 113.000 Zeilen Rust. Bestehenden C-Code umzuschreiben sei nicht geplant, so Kroah-Hartman. Ziel sei, neue Treiber in Rust zu schreiben. Ein Meilenstein steht bevor: die Implementierung des Android Binder in Rust, die Milliarden mobiler Geräte erreichen soll. Nebenbei habe Rust auch den C-Code verbessert – etwa durch die Einführung von Scoped Locks.

Lieferketten-Angriff: 700 Repositories kompromittiert

Die Sicherheitsbedrohung reicht bis in die Lieferkette. Forscher von Socket.dev deckten am 25. Mai einen Angriff auf über 700 Repositories bei GitHub und Packagist auf. Die Kampagne nutzte bösartige Post-Install-Skripts in PHP- und Node.js-Paketen, um eine Binärdatei herunterzuladen und als gefälschte SSH-Daemon-Datei zu tarnen.

Docker antwortet mit Sandbox-Umgebungen

Als Reaktion auf ungeprüften Code und autonome Agenten führte Docker am 26. Mai eine neue Sandbox-Umgebung ein. Diese nutzt MicroVMs mit eigenem Kernel und eigener Docker-Engine, um KI-Coding-Agenten vom Host-System zu isolieren. Ein Netzwerk-Proxy verwaltet Zugangsdaten, ohne sie der VM preiszugeben. Abgestufte Netzwerkrichtlinien sollen Datenabfluss verhindern – allerdings könnten auch restriktive Konfigurationen Lecks über erlaubte Domains ermöglichen.

Der Schritt folgt auf einen Sicherheitsvorfall vom 19. März 2026, bei dem Angreifer ein automatisiertes Scan-Tool kompromittierten und mehrere Stunden lang Secrets abgreifen konnten.

Ausblick: Linux 7.2 und die neue Disziplin

Die Community bereitet sich auf das Linux 7.2 Merge-Fenster vor. Neben Btrfs Huge Folios und dem USB4-Treiber stehen strengere Beitragsrichtlinien im Fokus. Künftig sollen Assisted-by-Tags KI-Tools kennzeichnen – die volle Verantwortung tragen aber weiterhin Menschen.

Die erfolgreichen Releases von AlmaLinux 10.2 und CloudLinux 10.2 zeigen: Das Enterprise-Distributionsmodell lebt. Unternehmen erhalten eine stabile Plattform bis Mitte der 2030er Jahre. Doch die Debatte um die Rolle der KI in der Open-Source-Entwicklung wird die kommenden Monate prägen. Maintainer müssen intelligenter filtern – sonst erstickt die automatisierte Entdeckungswut die menschliche Prüfkapazität.

de | wissenschaft | 69427598 |