Linux内核948个漏洞：OpenAI的120万美元买到了什么？

948个漏洞，120万美元。两个数字摆在一起，安全圈很难不兴奋。

兴奋之后，问题也跟着来。OpenAI这笔投入到底买到了什么，漏洞是否都成立，修复跟不跟得上。极牛网（GEEKNB.com）更关心第三个问题。

数字先别急着鼓掌

消息里最抓眼的是948。对Linux内核这种体量，一次审计冒出近千个问题，听起来像奇迹。可漏洞报告和可用漏洞之间隔着复现、定级、去重。

AI生成的报告可能带着漂亮的描述，却缺少稳定触发条件。维护者点开一看，配置对不上，版本不匹配，只能打回。误报越多，信任消耗越快。

120万美元的口径也要问清楚。是模型推理成本，是赏金支出，还是整个项目的预算。按简单除法，948个漏洞每个约1266美元，便宜得不像安全行业的价格。

便宜只发生在发现侧。修复一个内核漏洞，要改代码、跑回归、协调稳定版回传。这些成本不会因为AI写得快就消失。

AI把漏洞挖掘变成流水线

传统内核审计靠专家读代码，靠模糊测试碰运气，靠静态分析工具扫模式。周期长，覆盖有限，很多子系统几年没人细看。

AI代理可以并行读文件，提出假设，生成测试用例，再把失败样本收回来。它不怕重复，也不会因为凌晨三点犯困。

模型还能从历史补丁里学模式。一个释放后使用问题修过，相似的生命周期错误就可能被拎出来。这对内核这种代码复用多的项目很有效。

短板同样明显。内核里的并发、内存序、架构差异，常常要靠工程直觉。模型会自信地给出错误结论，复现步骤一跑就崩。

没有可复现PoC的报告，维护者很难接。AI可以把候选集做大，定级和修复仍要人来做。

120万美元的账不能只算发现成本

把120万美元除以948，得出每个漏洞1266美元，这个算法很爽，也很容易误导。发现只是第一步，修复才是吞预算的部分。

一个内核补丁要过维护者审核，要跑自动化测试，要评估性能回归，还要回传到多个稳定分支。下游发行版再打补丁，企业再验证兼容性。

这些环节都要工程师时间。AI让报告变多，工程师时间不会自动变多。瓶颈从找漏洞转到筛漏洞和修漏洞。

赏金市场也会被改写。模式化漏洞的发现价格会被压低，深度逻辑漏洞仍然贵。按数量付钱的做法，容易鼓励刷报告。

开源维护者面对的是洪水

Linux内核维护者本来就忙。安全报告涌入后，分类、复现、协调披露都要占时间。很多维护者是志愿者，白天还有本职工作。

AI工具如果只负责生成报告，就是把工作往下游推。更好的用法是帮维护者先筛一遍，自动去重，补复现，标影响范围。

基金会和受益企业该给维护者预算。120万美元如果全花在AI运行上，修复侧没有扩容，账就偏了。极牛网（GEEKNB.com）认为，发现越便宜，修复能力越要提前准备。

企业别等CVE编号

下游厂商习惯等CVE，等补丁，等供应商通知。AI挖洞加速后，这个节奏会越来越被动。报告可能先出现在邮件列表，CVE编号还没影。

企业要有一张内核版本台账，知道哪些业务跑在哪个分支，哪些驱动和协议栈暴露在边界。没有台账，漏洞来了只能全量排查。

补丁优先级要按暴露面分。边界网络协议栈、文件系统解析、特权驱动，风险不同。不能所有漏洞一个SLA，也不能所有系统同一时间窗口。

SBOM能帮上忙，但别把它当万能药。物料清单告诉你有什么，不告诉你哪里会被利用。还需要漏洞情报和运行时观察。

AI安全代理的边界

AI能发现模式化缺陷，却很难证明一条完整利用链。权限模型、配置差异、缓解措施，都会改变实际风险。

模型训练数据有滞后。新代码、新架构、新子系统可能是盲区。对抗性代码还能故意误导模型，让报告跑偏。

现实路径是人机协作。AI扩大候选集，人做定级和修复。把AI当实习生，别当替身。实习生会犯错，需要复核。

把120万美元花在修复线上

这则消息真正有价值的地方，是让AI漏洞挖掘进入工程讨论。谁先报948个不重要，谁能把有效漏洞变成稳定补丁才重要。

Linux内核的安全靠长期维护。一次扫描能翻出旧账，不能替代持续审计、代码规范和测试投入。发现成本下降后，修复和验证要跟上。

企业也该重算安全账。发现、修复、验证、运营，每一环都要预算。只买扫描工具，不建修复流程，数字越大越危险。

948个漏洞会慢慢变成补丁、CVE和公告。热闹过去，留下的是一道更朴素的题：当机器能快速找到问题，人能不能同样快速地解决问题。