人类漏过的53.6%内核漏洞，被AI找出来了

2026年初的Linux内核6.19版本背后，是2100多名开发者贡献的14344个变更集。每一行代码都要经过邮件列表里的人工审查——这是维持全球数十亿设备稳定的最后一道防线。但就在最近的测试里，有53.6%的历史漏洞，居然全通过了人类审查的眼睛，悄悄溜进了内核。

更让人惊讶的是，找出这些漏网之鱼的，是一个叫Sashiko的AI系统。它像一群不知疲倦的专业审查员，24小时盯着Linux内核邮件列表，能从架构设计、并发逻辑到安全漏洞，把补丁翻个底朝天。为什么人类会漏掉这些问题？这个AI又到底是怎么干活的？

九轮审查：模拟专家团队的流水线

你可以把Sashiko的审查流程想象成一家严格的工厂质检线——不是靠一个质检员盯着看，而是分九个工位，每个工位只负责一项专业检查。

第一轮，它先当“架构师”，看补丁有没有违背内核整体的设计逻辑，比如是不是随便改了不该碰的核心模块；第二轮变“代码实现师”，核对代码语法、变量命名有没有符合规范；第三轮到第八轮，它会依次检查执行流、资源管理、并发同步、安全审计、硬件访问这些细分领域，每一轮都用专门的规则卡细节；最后一轮才整理所有问题，生成清晰的报告。

这套多阶段审查协议，是它把误报率压到20%以内的关键。传统的自动化工具往往靠单一规则扫代码，容易把没问题的代码当成错误，或者漏掉藏在复杂逻辑里的漏洞。而Sashiko的每一轮审查都像请了一个领域专家，只盯着自己最擅长的部分，既能挖得深，又能减少“看错”的概率。

具体到技术上，它靠的是Chris Mason最初创建的开源提示词库——就像给每个工位的质检员递了一本专属检查手册。针对内存管理子系统的补丁，它会调出内存相关的提示词，重点查内存泄漏、野指针；针对网络模块的补丁，就用网络安全的提示词，找数据包处理里的漏洞。这些提示词是开源的，社区可以不断修改完善，让AI的审查越来越贴合内核的真实需求。

补全人类的盲区：从疲劳到效率

Linux内核的人工审查，本质上是一场和疲劳、信息过载的战争。一个维护者一天要处理几十封补丁邮件，每封邮件里的代码可能涉及好几个模块，盯着屏幕看几个小时后，眼神难免会飘——那些藏在并发逻辑里的微小竞态条件，或者资源释放时的顺序错误，很容易就被忽略了。

Sashiko刚好能补上这些盲区。在测试里，它找出的53.6%漏洞，全是人类审查漏过的，而且这些漏洞大多是复杂的“隐形问题”：比如两个线程同时访问一个变量导致的数据混乱，或者申请了内存却忘了在某个分支里释放。这些问题靠人工逐行看很难发现，但AI能靠着对代码上下文的理解，顺着执行路径一点点排查。

它还能直接给开发者省出大量时间。以前一个补丁提交后，可能要等几个小时甚至一天才能拿到人工反馈，现在Sashiko能在补丁提交的第一时间给出审查意见，开发者不用再卡在等待里。Linux基金会之前用类似AI工具的经验显示，代码审查时间能减少50%，补丁合并速度最多能提4倍。

当然，它也不是完美的。20%的误报里，大多是“灰色地带”——比如代码写法不够优雅，但不影响功能；或者AI对某个内核的特殊规则理解错了。这时候就需要人类来拍板：到底是AI看错了，还是代码真的有问题。所以现在的模式是AI先筛一遍，把明显的问题挑出来，人类再重点看AI标记的部分，以及那些需要经验判断的架构问题。

不是取代，而是搭伙：人机协作的新范式

Linus Torvalds曾说过，机器生成的补丁必须有人类背书——纯机器的代码，内核社区是不接受的。这句话也适用于AI审查：它永远是人类的助手，而不是替代品。

现在Sashiko的定位很明确：做人类不想做、做不好的脏活累活。比如重复检查代码规范，或者盯着那些繁琐的资源管理细节；而人类维护者可以把精力放在更重要的事上，比如判断补丁会不会影响内核的整体架构，或者和开发者讨论代码的设计思路。

社区对这种协作模式的接受度正在变高。以前大家担心AI会抢了维护者的工作，或者把代码改得乱七八糟，但现在发现，AI反而能帮维护者从繁琐的事务里解放出来，把更多时间花在需要经验和判断的地方。甚至新手开发者也能受益：AI的即时反馈能帮他们更快理解内核的规范，不用再等半天才能拿到人类的指导。

当然，也有需要警惕的地方。比如AI审查依赖的大语言模型，会不会有版权问题？或者如果哪天谷歌停止提供算力支持，这个服务会不会断档？不过好在Sashiko是开源的，任何人都可以自己部署一套，换用其他的大语言模型——这也是开源项目的底气：不会因为某一家公司的变动就停摆。

当我们谈论Sashiko的时候，其实在谈论的是开源社区的一种进化：面对越来越庞大的代码量和越来越复杂的安全挑战，单靠人类已经不够了。

AI不是来取代谁的，它是给这个运行了几十年的开源协作体系，装上了一个新的引擎。它能让维护者少熬几个夜，让开发者少等几个小时，让全球数十亿设备的内核，多一层看不见的安全防护。

人机搭伙，才是开源的未来。

毕竟，人类的经验和判断不可替代，但AI的效率和细致，也是守护代码安全的重要力量。就像日本传统刺绣“刺し子”的名字一样，Sashiko做的，就是一针一线地把Linux内核的漏洞补起来——而这背后，是人类和AI一起，给全球数字基础设施织起一张更密的网。