Greg Kroah-Hartman：LLM 时代的安全
文章摘要
这是 Linux 内核稳定版维护者、内核安全团队核心成员 Greg Kroah-Hartman（GKH）在 Kernel Recipes 2026 大会（9 月 22 日）上的演讲视频，时长约 57 分钟，由大会官方频道发布。视频简介只写了「Greg KH」，本文依据视频章节、大会官方现场博客（Kernel Recipes live blog）的记录，以及 HN 评论中转述的幻灯片内容整理。视频章节依次为：LLM 简介、剖析 Mythos 的说法、拆解漏洞报告、市场炒作与现实、历史的教训、如何处理自动化漏洞报告、AI 生成代码的局限、数据隐私与滥用、安全团队最佳实践、展望与总结，最后是问答环节。
「不要慌」。 GKH 开场就说，一年前大家还觉得内核每周 50 个 CVE 太疯狂，如今已是每天约 33 个——好在内核的 CVE 工具链扩展得不错。他的核心信息是：虽然这让他忙得不可开交，但这不是天要塌下来的事。
拆解 Mythos 的「79 个漏洞」。 媒体报道称 Anthropic 的 Mythos 模型在 Linux 中发现了 79 个漏洞。GKH 先指出，Coccinelle 项目（Julia Lawall 等人）早就在做类似的事：总结历史上漏洞的产生模式，再系统性地扫描全部代码。然后他逐条拆解这 79 份报告：24 份毫无细节，只说「有东西崩了」；14 份根本不是 bug；3 份是完全编造的数据；15 份在最新版本里已经修复（其中 4 个是 Anthropic 自己修的）；剩下的去掉重复后，需要修的有 20 个，但其中 7 个的前提是「假设有恶意的文件系统镜像」（内核文档明确不把它视为安全问题），2 个要「往协议栈中间注入恶意数据包」，2 个与 NOMMU 有关，6 个是面向不受信设备的 SCTP 网络问题，2 个是 IPv6 小问题，1 个是本地恶意用户可触发的 GPU 驱动问题。最终他认定只有约 10 个「真正的」bug 修复，「大概相当于内核开发一个小时的工作量」。他还调侃幻灯片上的数字加起来对不上——「LLM 不会数数」。他的评价是：营销很糟糕。
真正的问题：利用时间在缩短。 他提到，从漏洞公开到被利用的平均时间，已从 2018 年的 63 天缩短到 2026 年的负 7 天（即在公开之前就已被利用）。这是几十年安全投入不足的账单到期了。但「我们以前经历过」——千年虫、模糊测试工具、静态分析工具刚出现时都是如此：坐下来干活、修 bug，问题自然会消化掉。
工具的本质与局限。 GKH 反复强调，LLM 不过是「模糊的模式匹配器」，没有真正的智能；他也不喜欢「幻觉」这个词，因为它把计算机拟人化了。根据内核社区的观察，最好的模型仍有约 50% 的误报率——他雇了 6 名研究生做 bug 分析来验证这一点，其中一份报告甚至骗过了他本人，但没骗过深入研究的那个学生。他引用 Coverity 的复盘：静态分析工具误报率一旦超过 20%，开发者就会愤怒并彻底无视它——那么 50% 的工具注定不会有人买。AI 生成的报告往往用大段变更说明和冗长注释来「说服」你，哪怕问题本身很浅；所以审阅者的第一反应应当是：文字越多，越要质疑。「忽略注释，去看代码。」
数据泄露与版权。 他警告这些机器人「会泄密」：你告诉它的东西，它会告诉别人。内核安全邮件列表每周都能看到不同研究者「撞车」报告同一个 bug。因此绝不要把任何非公开信息上传到 SaaS 模型，建议使用可在本地运行的开放权重模型，它们已经足够好用。他还引用 LLM 厂商高管和 LG Research 的材料，指出这些模型的训练数据存在明显的版权和合法性问题；但他借用《安多》中的台词表示，自己「注定要用敌人的工具去打败他们」——既然工具已经造出来了，就拿来修开源代码。
内核安全团队的应对。 团队已把威胁模型写成文档，便于直接引用来驳回不在范围内的报告；要求报告时抄送相关维护者，必要时推动公开讨论；新政策要求漏洞报告附带初始补丁；还争取到经费，雇了一名全职审阅者专门处理这类报告。他的建议是：对任何「感觉不对」的报告都要反驳和追问，无视末日营销，尽管修 bug。他预计接下来的 18 个月会很难熬，但内核最终会变得更好。
HN 评论精华
这篇帖子获得 345 分、127 条评论，讨论集中在 Mythos 的营销炒作、LLM 的误报问题，以及 LLM 到底算不算「实习生」。
- usernomdeguerre（发帖人）把 GKH 关于 Mythos 的幻灯片整理成文字贴出，认为「10 个真正的 bug」说明这些公司周边有一台疯狂的炒作机器，而媒体不加批判地复述其新闻稿，一遇到真正的领域专家就站不住脚。p-o 补充说幻灯片上的数字加起来只有 76，GKH 在视频里也拿这个开玩笑。
- OtherShrezzing 说他们自愿维护安全的几个开源仓库也有同感：真正好摘的果子早被人类摘完了，自动扫描的产物大多是冗长的废话，需要专家花几个小时去理解、测试再驳回；Claude 生成的误报读起来尤其折磨人，因为它总是坚信自己的发现成立，还附上演示离谱场景的「概念验证」代码。
- gregw2 做了补充核实：他记得 Mythos 当时有几个令人印象深刻的 NFS 漏洞，查证后发现其中一个 Linux NFS 堆溢出是 Claude Code 找到的，不在这 79 个之内；而真正能远程拿 root 的那个 NFS 栈溢出出现在 FreeBSD 而非 Linux。他认为 Mythos 确实被炒作，但它在 BSD 上的发现说明人们的警觉并非全无道理。
- catdog 引用 curl 作者 Daniel Stenberg 关于 Mythos 扫描 curl 的博文，认为 Mythos 就是个营销噱头；duttish 和 goobreee 指出 AISLE 等团队用大量小模型组成的系统反而效果更好，「秘方」未必在于模型本身多强大。wslh 则提醒，Linux 和 curl 这类项目本就受到极多审视，不能据此一概而论，LLM 辅助找 bug 对大量普通、冷门的软件仍然很有价值。
- stonogo 质疑 GKH：既然说 Mythos 只找到 10 个真 bug，为什么上个月内核却发了 1300 多个 CVE？Iknowsheknows 和 rcxdude 解释，内核 CVE 团队的做法是给每个 bug 修复都分配 CVE；rcxdude 认为 GKH 的核心意思是即便最顶尖的模型误报率仍然很高，处理起来非常累人。
- djoldman 指出其中的矛盾：一边宣称新模型危险到只能向少数人开放，一边宣称它轻松找到 79 个 Linux 漏洞，结果 GKH 说一小时就能修完——这让人很容易怀疑以后的每一次发布。rcxdude 纠正说 GKH 的意思是「这些 bug 的量大约相当于内核社区每小时处理的量」，这次轰动发布只是汪洋中的一滴水。reasonableklout 提醒不要仅凭误报率就轻视 AI 的攻击能力：只要一个真阳性就够了，今年的变化在于智能体越来越擅长把多个漏洞串成攻击链。
- 关于「LLM 像实习生」的长篇争论：b112 说顶级 LLM 就像热情、聪明的 20 岁实习生，书本知识多但缺乏实际经验，放任不管会出事，严格指导则能产生价值。delusional 反驳说他带过的优秀实习生远胜 LLM，而且带实习生的价值在于一年后会有一个能独立负责、能指出你盲点的同事，LLM 给不了这些；t_mahmood 补充说实习生会成长，LLM 不会。Zigurd 认为编程智能体一年来从「垃圾」变得相当有用，但「它们失败得少了，失败的方式却没变」。simoncion 和 20k 批评「你没用最新模型」「下一代会更好」的说辞每半年重复一次。
- simoncion 摘录了视频里他最认同的两段：一是 50% 误报率的工具没人会买（Coverity 20% 都卖不动）；二是要用就在本地运行开放权重模型，传到 SaaS 上的东西迟早会被分享给别人。
- tombh 关注版权问题：GKH 引用了「通用语料中只有 20% 数据可合法使用」的说法，却只说「交给法院去处理」，那 Linux 接受 LLM 生成的补丁会不会有法律风险？whateverboat 回答说有开发者原创证书（DCO）机制，这不是新问题，AI 只是放大了规模。
- shieldagent 用一句话概括：真正致命的是不对称——生成报告几乎零成本，验证报告的成本却丝毫没变。0xbadcafebee 赞同「忽略注释，去看代码」，perching_aix 则调侃说如果每听到一次「它们只是模糊的模式匹配器」就喝一杯，看不到三分之一就倒下了。
- Aissen 是 Kernel Recipes 现场博客的作者，贴出了这场演讲的文字记录，本文的部分内容也参考了该记录。