AWS 引入 AI 分诊内核 CVE，人工审查保留，升级 LTS 降低风险

流程结合自动化与人工

亚马逊云科技工程师在布拉格 Linux Plumbers Conference 上介绍了其 EC2 基础设施 Linux 内核团队处理 CVE 的流程。该流程分为三阶段：自动化过滤器、AI 智能体和人工审查。

自动化过滤大幅减少工作量

第一阶段不使用 AI，而是通过脚本分析 CVE 记录的 JSON 格式数据。如果内核版本不在受影响范围内，或相关文件未构建进镜像，脚本会直接丢弃该 CVE。在 AWS 环境中，这一步可排除约 70% 的 CVE，具体比例取决于内核配置。

AI 智能体处理剩余 CVE

剩余的 CVE 会被交给 AI 智能体处理。智能体接收 AWS 的内核源代码树、各平台配置、环境与威胁模型说明及严重程度评定标准，生成包含受影响子系统、漏洞类型和攻击途径的表格。每个 CVE 处理时间约 3.4 秒，而人工处理需数分钟。团队忽略 CVSS 分数，将其视为高级分类器。

人工审查保持关键环节

通常两名工程师审核 AI 生成的表格。Bouron 表示，审查是流程中最慢的步骤，但团队不打算取消，因为不希望整个安全体系押在一个大语言模型智能体输出上。估计智能体决策中约 5% 到 10% 存在问题。

升级 LTS 内核降低风险

团队数据表明，较旧 LTS 分支修复更晚且未修复 CVE 更多。截至 9 月 16 日，Linux 5.10 有 1709 个未修复 CVE，6.18 有 229 个。对于同时影响全部六个分支的 CVE，5.10 修复中位时间为 31.8 天，6.18 为 18.1 天。团队主张迁移到较新 LTS 内核，并缩短升级周期，从 4.19 升级至 5.10 约花两年，迁移至 6.18 约六个月。

Microsoft 类似流水线验证

Microsoft Azure Linux 团队在同一会议上介绍了类似流水线，使用规则表进行分诊，AI 建议输入，智能体执行反向移植，构建和测试反馈循环将成功率从约 50% 提高至 80%。AWS 团队希望探索共享过滤工具的可能性。

来源：InfoQ