Als Linus Torvalds am 17. Mai die Version Linux 7.1-rc4 veröffentlichte, erklärte er in dem wöchentlichen Bericht der Kernel-Mailing-Liste (LKML), dass die private Sicherheits-Mailing-Liste des Linux-Kernels aufgrund zahlreicher doppelter Sicherheitsberichte, die von KI-Tools generiert wurden, „fast völlig unverwaltbar“ sei. Er schrieb, dass verschiedene Forscher mit denselben KI-Scantools identische Schwachstellen entdeckten und diese jeweils separat an die private Sicherheitsliste meldeten – was zu einer „Flut an Duplikaten“ führte. Die Maintainer mussten dadurch enorm viel Zeit darauf verwenden, die Berichte an die richtigen Personen weiterzuleiten oder ständig zu antworten: „Diese Schwachstelle wurde bereits vor einer Woche/einem Monat behoben.“ Torvalds betonte außerdem, dass Schwachstellen, die von KI-Tools gefunden werden, „im Grunde genommen gar keine Geheimnisse“ seien; deren Weiterleitung an die private Liste sei „Zeitverschwendung für alle“. Die private Sicherheitsliste solle stattdessen nur für echte, dringende Zero-Day-Lücken genutzt werden.
Daraufhin aktualisierte das Linux-Kernel-Sicherheitsteam seine Dokumentation und legte fest, dass Schwachstellen, die durch KI entdeckt werden, als öffentlich gelten und direkt an die zuständigen Maintainer gemeldet werden müssen. Dabei sollen die Berichte kurz, rein textbasiert sowie mit nachvollziehbaren Reproduktionsschritten versehen sein. Statistisch gesehen stieg laut Willy Tarreau, dem Verantwortlichen für die Kernel-Stabilisierung, die Zahl der täglichen Berichte in der Sicherheitsliste seit zwei Jahren von 2–3 pro Woche auf mittlerweile 5–10 pro Tag. Torvalds’ Vorschlag ist simpel: Wer mit KI-Tools Schwachstellen findet, sollte gleich einen Fix einreichen – „um echten Mehrwert über das hinaus zu leisten, was die KI leistet“, anstatt bloß als „Laie ohne tieferes Verständnis der Problematik voreilige Berichte zu versenden“. Ein weiteres Beispiel für das richtige Vorgehen lieferte bereits zuvor der Kernel-Maintainer Greg Kroah-Hartman: Er nutzte seinen lokalen KI-Roboter „Clanker T1000“, um eine Schwachstelle zu finden, einen Fix zu entwickeln und diesen schließlich im Namen eines Menschen einzureichen.