Codex ускорил бэкпортинг исправлений безопасности ядра Linux

Проект ускоряет доставку исправлений в стабильные версии

Проект Trail of Bits использует систему Codex для ускорения процесса бэкпортинга исправлений безопасности в стабильные версии ядра Linux. Бэкпортинг — это перенос исправлений из новейшего исходного кода в более старые версии программного обеспечения. Этот процесс часто занимает дни и требует значительных усилий от разработчиков. Система Codex сокращает время, необходимое для подготовки и проверки исправлений, с дней до часов. Это позволяет инженерам быстрее отправлять исправления для критически важного программного обеспечения, такого как Ubuntu Long Term Support (LTS), Fedora и ядро Linux. К 29 октября 2026 года проект помог внедрить исправления для 149 различных CVE в стабильные релизы ядра Linux, а также несколько исправлений в пакеты Fedora и Ubuntu.

Codex автоматизирует задачи бэкпортинга

Развертывание исправлений в старое программное обеспечение включает адаптацию к старому коду, проверку зависимостей и обеспечение отсутствия новых ошибок. Одна задача, например, поиск ошибки в некорректном коммите, может занять неделю. Рабочий процесс с использованием Codex снижает объем ручного труда. Подготовка и проверка простого бэкпорта занимает около 30 минут человеческого внимания, более сложного — до трех часов. Система выполняет такие задачи, как выявление недостающих исправлений, адаптация патчей, сбор доказательств валидации, запуск тестов и подготовка пакетов для отправки. Инженеры затем проверяют патчи и передают их мейнтейнерам. Оценки не включают регрессионное тестирование и принятие мейнтейнерами, но сниженная нагрузка делает практичным выполнение большого объема работы по исправлению уязвимостей.

Стабильные версии содержат тысячи уязвимостей

Пользователи часто предпочитают более старые, проверенные версии программного обеспечения, такие как Ubuntu LTS. Около 95% установок Ubuntu Linux используют LTS-версии. Большинство установленных пакетов ядра Linux также основаны на старых стабильных ветках. Это создает дилемму: пользователи могут либо оставаться на стабильной версии с уязвимостями, либо обновиться до новой версии, которая исправляет ошибки, но вносит нежелательные изменения. Тысячи известных CVE не имеют исправлений в стабильных ветках. Например, в ядре Linux версии 5.10.y насчитывается 2006 CVE без исправлений, из которых 213 имеют высокий или критический уровень серьезности. В Debian 13 Stable зафиксировано 4562 уникальных CVE, а в Ubuntu 26.04 — 770. Многие из этих уязвимостей могут быть использованы современными инструментами.

Проект предлагает помощь в бэкпортинге исправлений

Trail of Bits использует Codex и GPT-5.6 для выявления и адаптации исправлений для стабильных версий ядра и дистрибутивов Linux. Проект уже помог внедрить 149 исправлений CVE в стабильные ветки ядра. Организации, управляющие проектами с открытым исходным кодом или дистрибутивами Linux, могут подать заявку на помощь в бэкпортинге исправлений безопасности на сайте trailofbits.com/patch-the-planet. Цель проекта — «исправить планету», устраняя известные уязвимости в широко используемом программном обеспечении.