Kunstmatige intelligentie verandert de manier waarop kwetsbaarheden in belangrijke besturingssystemen worden ontdekt. Linux is een van de systemen waar dit effect het duidelijkst zichtbaar is, met een sterke toename in CVE-meldingen en patches die druk uitoefenen op de beheerders. Maar dit is geen geïsoleerde situatie. Microsoft gebruikt al agents voor het zoeken naar fouten in Windows; AI heeft kwetsbaarheden gevonden in FreeBSD en OpenBSD; en deze technieken maken ook kans op het softwareplatform dat Android, iOS en macOS ondersteunen. Het verschil ligt in de hoeveelheid publicaties en de manier waarop deze ontdekkingen worden geteld.
De kern van AI die in 20 seconden zoekt naar kwetsbaarheden
- Linux nadert ongekende aantallen CVE’s per versie dankzij toenemend geautomatiseerd onderzoek.
- Microsoft wijst een agentsysteem toe dat 16 kwetsbaarheden in Windows heeft gevonden.
- Onderzoek ondersteund door AI heeft tientallen fouten bevestigd in FreeBSD.
- Android combineert open source code, fuzzing en nieuwe methoden van geautomatiseerde analyse.
- iOS en macOS publiceren veel kernfouten, maar Apple wijt de ontdekkingen niet op dezelfde wijze aan AI.
Het begrijpen van deze statistieken vereist nuance. Het feit dat Linux veel meer CVE’s publiceert dan andere systemen betekent niet automatisch dat het minder veilig is.
Linux, Windows, Android, macOS en BSD-systemen hebben elk hun eigen ontwikkelmodellen, aanvalsvectoren en divulgatiebeleid. Het vergelijken van uitsluitend het aantal CVE’s is alsof je het aantal defecten in twee voertuigen vergelijkt zonder te weten hoeveel inspecties elk heeft ondergaan.
AI maakt die inspecties nu juist veel vaker mogelijk.
Linux toont eerst het probleem van het vinden van teveel dingen
Tijdens een groot deel van Linux 6.x lag het aantal CVE’s dat per versie werd gerepareerd rond de 500. Daarna steeg dat aantal naar meer dan 1.000, en Linux 7.2 ging over de 1.500. Als deze trend zich doorzet, zou Linux 7.3 mogelijk dicht bij of boven de 2.000 uitkomen.
Achter deze cijfers bevinden zich twee verschillende fenomenen.
Ten eerste is er het huidige model dat Linux gebruikt voor het toekennen van CVE-identificaties. Ten tweede zorgen geautomatiseerde tools en AI-systemen voor een continue controle van delen van de kernel die voorheen lange tijd niet werden geïnspecteerd.
Een agent kan oudere drivers analyseren, zeldzame foutroutes onderzoeken, subsystemen die door relatief weinig systemen worden gebruikt, of code die nauwelijks wijzigt.
Dit maakt het mogelijk echte defecten te vinden.
Maar het produceert ook ruis.
Volgens de officiële documentatie van de kernel kan AI-ondersteunde rapportage leiden tot veiligheidsconsequenties die speculatief zijn, reproducties die niet werken, of uitgebreidere uitleg dan nodig is. Beheerders willen reproduceerbare problemen, geïdentificeerde versies en, indien mogelijk, goed geteste en gecompileerde oplossingen.
Dit werd vooral duidelijk tijdens de ontwikkeling van Linux 7.3.
De netwerkverantwoordelijken Jakub Kicinski en Paolo Abeni moesten 632 patches voor net en nog eens 648 voor net-next beheren. Kicinski schatte dat ongeveer een derde tot de helft van de patches voor net-next kleine correcties, schoonmaakwerk of verduidelijkingen waren die mogelijk door AI waren aangedragen.
De machine kan in seconden een bevinding genereren en een patch voorstellen. Een menselijke maintainer moet dat echter begrijpen, testen, en beslissen of het in Linux wordt opgenomen.
Hier ontstaat een nieuwe bottleneck.
Windows, FreeBSD en Android gebruiken eveneens AI om fouten op te sporen
Microsoft ondergaat hetzelfde veranderingstraject, al werkt het vanuit een gesloten ontwikkelmodel.
In 2026 introduceerde het bedrijf MDASH, een agentsysteem dat meerdere modellen gebruikt om code te analyseren en kwetsbaarheden te vinden.
Microsoft beweert dat het systeem heeft geholpen bij het ontdekken van 16 onbekende kwetsbaarheden in netwerk- en authenticatiecomponenten van Windows, waarvan vier als kritisch zijn aangemerkt, gerelateerd aan remote code execution.
Dit voorbeeld toont aan dat het fenomeen niet afhangt van open source-code.
Microsoft voert deze systemen intern uit en deelt alleen de resultaten die het wil communiceren. Linux ontwikkelt veel van dat proces zichtbaar voor iedereen.
FreeBSD biedt een meer directe vergelijking.
De broncode is beschikbaar en het project heeft procedures aangepast zodat onderzoekers moeten aangeven wanneer ze geautomatiseerde tools of AI gebruiken bij het ontdekken van een kwetsbaarheid.
In een bredere campagne voor AI-gestuurde onderzoek werden 34 kwetsbaarheden bevestigd in FreeBSD, inclusief zeven proof-of-concept exploits voor lokale privilege escalation. Een vergelijkbare campagne in OpenBSD vond een use-after-free-fout die al bijna 23 jaar in de code zat in de implementatie van System V semaforen.
Android illustreert een andere situatie.
Een groot deel van de onderliggende technologie, inclusief het Android Open Source Project (AOSP), is toegankelijk voor externe onderzoekers. Google gebruikt al jaren fuzzing en andere geautomatiseerde analyses om fouten op te sporen vóór dat ze in de apparaten terechtkomen.
Met de komst van taalmodellen en beveiligingsagents wordt dat nog verder uitgebreid: het gaat niet alleen meer om het versturen van miljoenen willekeurige of half-gestructureerde invoer naar een programma om een fout uit te lokken. Een AI-systeem kan relaties tussen functies proberen te begrijpen, datastromen volgen en hypothesen formuleren over hoe kwetsbare condities te bereiken.
Er bestaat momenteel echter geen openbare statistiek die een directe vergelijking toelaat tussen Android en de circa 2.000 CVE’s die een Linux-versie kan verzamelen.
Bovendien gebruikt Android de Linux-kernel, waardoor er enige overlap in technologie is. Een kernelfout kan afhankelijk van de versie, configuratie en gebruikte code potentieel Android beïnvloeden.
| Systeem | Gebruik of openbare indicatie van AI in veiligheid | Wat kan hieruit worden afgeleid |
|---|---|---|
| Linux | Grote hoeveelheid rapportages en patches ondersteund door AI | Menselijke review begint de capaciteit van het verwerken van bevindingen te beperken |
| Windows | MDASH hielp 16 kwetsbaarheden ontdekken | Microsoft integreert agents in haar interne onderzoek |
| FreeBSD | 34 kwetsbaarheden bevestigd in AI-ondersteunde campagnes | AI kan systematisch oudere kernels analyseren |
| OpenBSD | Vond een probleem dat 23 jaar in de code zat | Zelfs goed gereviewde code kan oude fouten verbergen |
| Android | Langjarige inzet van geautomatiseerde analyse en toenemend gebruik van AI | De deels open aard bevordert grootschalige analyses |
| macOS | Veel kernelpatches, zonder publieke koppeling aan AI | Vergelijking met Linux is niet direct mogelijk |
| iOS/iPadOS | Veel kernelfouten, maar Apple markeert dit niet systematisch als AI-ontdekkingen | De publieke cijfers meten patches, niet specifiek ontdekkingen door AI |
Deze tabel benadrukt waarom het niet waardevol is om besturingssystemen simpelweg te rangschikken op basis van «meeste bugs gevonden door AI». De beschikbare gegevens meten niet hetzelfde.
iOS en macOS hebben ook veel kernelfouten, maar een cruciale ontbrekende stap
Apple biedt een zeer bruikbaar voorbeeld.
De beveiligingsupdates voor iOS tonen aan dat het vinden van problemen in low-level componenten niet alleen een Linux-kwestie is.
Alleen iOS 26.6 en iPadOS 26.6, uitgebracht op 27 juli 2026, patchten veel problemen gerelateerd aan de kernel. Onder andere use-after-free-fouten, geheugencorruptie, out-of-bounds lezen en schrijven, race-condities en problemen die kunnen leiden tot crashes of geheugensporen van de kernel.
Er was zelfs een buffer overflow die een applicatie in staat stelde uitvoerbare code met kernelprivileges uit te voeren.
De update naar iOS 26.6.1 bracht verdere correcties, inclusief een remotely exploiteerbare use-after-free, die het systeem kan laten crashen, en andere fouten die geheugen van de kernel kunnen lezen of beschadigen.
Dit betekent niet dat iOS bijzonder onveilig zou zijn.
Het illustreert juist de complexiteit van het interpreteren van CVE-cijfers: moderne besturingssystemen bevatten enorme hoeveelheden code en worden continu onderzocht.
En er is een belangrijk verschil met Linux.
Apple meldt wel wie melding heeft gedaan van veel kwetsbaarheden, maar zijn veiligheids-rapporten geven niet systematisch aan of AI is gebruikt bij het ontdekken. Dus mag je de CVE’s van iOS en macOS niet automatisch tellen als ‘door AI gevonden’.
Ook bij macOS gebeurt iets soortgelijks. Bovendien delen macOS en iOS technologieën zoals de XNU-kernel en diverse frameworks en systemen. Eenzelfde fout kan bij verschillende Apple-producten voorkomen of gerelateerde patches vereisen.
De relatief grote opaakheid van het interne proces maakt het onmogelijk om de activiteit zo gedetailleerd te volgen als bij Linux.
De AI verandert de security bottleneck
De belangrijkste verandering is waarschijnlijk niet dat Linux 2.000 CVE’s per versie kan hebben of dat een agent 16 kwetsbaarheden in Windows vond.
Het gaat om de kosten van het zoeken naar fouten.
Tot voor kort kostte het vinden van een complexe kwetsbaarheid dagen of weken voor onderzoekers om een component te begrijpen.
Traditionele automatisering zoals statische analysetools, sanitizers en fuzzers heeft dat proces al behoorlijk veranderd. Ze vonden al jaren enorme hoeveelheden problemen.
AI voegt daar nu een extra laag aan toe.
Agents kunnen code lezen, hypothesen formuleren, tests schrijven, fouten interpreteren, een test aanpassen en opnieuw uitvoeren. En als ze urenlang autonoom werken, neemt de potentie van inspeuring sterk toe.
Dat betekent niet dat de menselijke onderzoeker overbodig wordt.
In tegendeel. Linux leert dat hoe goedkoper het is om een mogelijke fout te genereren, des te belangrijker het wordt om te bewijzen dat deze daadwerkelijk bestaat.
Het nieuwe proces zou meerdere lagen kunnen krijgen: AI die een anomalie ontdekt, een ander model dat die probeert te weerleggen, reguliere tools die tests uitvoeren en een mens die alleen de resultaten die door de filters komen, beoordeelt.
Linux experimenteert al met modellen om een deel van patches te laten reviewen vóórdat ze bij de maintainer komen.
Proprietaire systemen kunnen hetzelfde doen binnen hun organisatie.
Microsoft kan Windows analyseren zonder dat elk afgewezen kandidaatsysteem publiek wordt, en Apple kan vergelijkbare software gebruiken voor XNU, iOS en macOS, zonder resultaten te moeten vrijgeven. Google heeft bovendien uitgebreide ervaring met het combineren van menselijk onderzoek en automatisering voor Android en andere projecten.
Hierdoor worden de cijfers over kwetsbaarheden nog minder vergelijkbaar.
Een open en sterk onderzocht systeem lijkt misschien slechter omdat het meer fouten vindt, documenteert en repareert voor iedereen zichtbaar. Maar dat is de paradox van de open aanpak.
De komst van AI versterkt deze paradox alleen maar.
Linux laat als eerste zien wat er gebeurt als de automatische zoekcapaciteit de menselijke capaciteit overtreft. Windows, Android, FreeBSD, OpenBSD, macOS en iOS volgen die ontwikkeling.
De vraag wordt straks niet meer alleen: hoeveel bugs kan een AI vinden?
Maar eerder: hoeveel van die bevindingen kunnen worden gereproduceerd, beoordeeld op ernst en zonder nieuwe problemen te introduceren, voordat de volgende automatische golf op de deur klopt bij de beheerders?
Veelgestelde vragen
Vindt AI meer kwetsbaarheden in Linux dan in Windows?
Met de beschikbare data kan dat niet worden vastgesteld. Linux en Windows gebruiken verschillende ontwikkelings- en divulgatiemethoden voor CVE’s, en Microsoft voert veel van haar onderzoek intern uit.
Heeft AI echte kwetsbaarheden ontdekt in Windows?
Ja. Microsoft meldt dat haar systeem MDASH 16 kwetsbaarheden heeft ontdekt, waarvan vier uiterst kritisch waren.
Zoekt AI ook naar fouten in Android?
Android en de open-source componenten ervan worden al jaren intensief onderzocht met fuzzing en automatische analysetechnieken. Nieuwe AI-tools breiden die mogelijkheden verder uit. Echter, er is geen openbare telling die direct vergelijkbaar is met de circa 2.000 CVE’s die Linux kan verzamelen.
Worden er met AI ook kwetsbaarheden gevonden in iOS en macOS?
Hoewel het technisch mogelijk is, rapporteert Apple niet systematisch of een kwetsbaarheid via AI is ontdekt. Daarom mogen de recente CVE-cijfers niet automatisch worden beschouwd als ‘gevonden door AI’.