Trail of Bits usa Codex per portare 149 fix di sicurezza nelle release Linux stabili
Testo scritto con l’intelligenza artificiale a partire da una fonte citata, senza revisione umana prima della pubblicazione.
Un flusso di lavoro con agenti Codex riduce il tempo di preparazione dei backport da giorni a ore, rendendo praticabile la sistemazione di centinaia di CVE aperte nelle branch stabili.
Trail of Bits dice di aver aiutato a inserire fix per 149 CVE nelle release stabili del kernel Linux entro il 29 ottobre, riducendo il backport da giorni a ore per ogni patch, e di aver contribuito anche a pacchetti Fedora e Ubuntu1.
Le correzioni arrivano prima nell’ultima versione del software, poi spesso si fermano lì. La maggioranza degli utenti resta su versioni stabili più vecchie: per Ubuntu, circa il 95% delle installazioni è Long Term Support. Chi usa release stabili mantiene bug noti o aggiorna a una versione nuova con cambiamenti indesiderati. Dave Chinner, sviluppatore XFS, definisce il backport “di fatto un lavoro a tempo pieno” che senza risorse adeguate resta inevasa1.
Trail of Bits descrive un flusso in due parti. Gli agenti Codex cercano fix mancanti, adattano patch a codice più vecchio, raccolgono prove di validazione, eseguono test e preparano i pacchetti di sottomissione. Gli ingegneri rivedono i risultati e inviano le patch ai maintainer. Esclusa la configurazione iniziale specifica per progetto, un backport lineare richiede circa 30 minuti di attenzione umana, un caso più complesso circa tre ore. Prima servivano giorni per patch. Il tempo si riduce nella preparazione, non nei test e nella revisione dei maintainer1.
Le stime coprono preparazione e revisione delle patch. I test di regressione e l’accettazione dei maintainer restano indispensabili. L’arretrato è ampio, ma con meno tempo umano per patch diventa più praticabile lavorarci in modo sistematico. L’obiettivo è aiutare i revisori a inviare correzioni più in fretta verso kernel stabili e pacchetti di distribuzione1.
Secondo i dati del team CVE del kernel, molte CVE risultano corrette nelle branch più nuove ma non nelle branch stabili più vecchie. Per i pacchetti, i feed bulk di Debian 13 e Ubuntu 26.04 riportano CVE non risolte. Non è un conteggio esatto né una misura dell’exploitabilità, ma segnala una coda significativa di fix mancanti nelle versioni in uso. Strumenti di ricerca di bug assistiti da AI rendono più facile individuare vulnerabilità in codice datato1.
Il post cita un caso: CVE-2026-98432, un bug critico e remoto nella pila TCP del kernel, patchato upstream ma assente in alcune distribuzioni settimane dopo. I bug celebri tendono a essere backportati, quelli meno noti spesso restano indietro. Attacchi reali hanno sfruttato vulnerabilità vecchie in software stabile, come nel recente hack che ha colpito OpenAI1.
Backportare richiede più passaggi: adattare la patch a codice vecchio, verificare dipendenze, evitare regressioni. Anche rintracciare un singolo commit problematico può richiedere una settimana o più. Qui gli agenti accelerano il lavoro preparatorio e producono evidenze per la revisione umana1.
L’arretrato è ampio, ma ora esiste un modo pratico per affrontarlo1.
Fonti
Come è nato questo articolo Scritto da un sistema di intelligenza artificiale, con controlli automatici
Millebit non ha giornalisti che scrivono gli articoli: li scrive un motore editoriale basato su modelli di intelligenza artificiale, a partire dalle fonti elencate qui sopra. Prima di uscire, ogni testo passa questi controlli:
- Rilettura. Un passaggio toglie i tic della prosa generata da un modello, come i contrasti costruiti e le frasi che annunciano invece di informare, senza toccare fatti e fonti.
- Fedeltà alle fonti. Un passaggio dedicato toglie ogni affermazione che le fonti non sostengono. Valutazione su questo pezzo: 9/10.
- Anti-cliché. Un filtro scarta frasi fatte, enfasi e tic della prosa artificiale: superato.
- Giudizio editoriale. Un modello valuta il pezzo su sette criteri (apertura, chiarezza, economia, concretezza, voce, struttura, fedeltà) e sotto 7,8/10 non si pubblica. Questo articolo ha preso 7,9/10.
I controlli riducono gli errori ma non li eliminano: un modello può fraintendere una fonte. Per le decisioni importanti, risali alla fonte originale. Se trovi un errore, segnalacelo.
Per vedere Millebit nelle notizie principali di Google, aggiungilo alle tue fonti preferite. Oppure segui l’edizione di oggi, il feed RSS o La Sintesi.