AWS gebruikt AI om CVE’s voor de EC2-kernel te triëren

AWS-engineers beschreven tijdens een conferentie eerder in oktober 2026 een AI-ondersteund proces om CVE’s voor de Linux-kernel van EC2 te beoordelen. Een script filtert eerst op getroffen kernelversies en ingebouwde bestanden; daarna classificeert een AI-agent de overgebleven meldingen en controleren engineers de uitkomst. Het gaat om de kernel voor AWS-infrastructuur, niet om Amazon Linux of de kernels in virtuele machines van klanten.

Eerst controleert een script welke CVE’s van toepassing zijn

Een CVE is een openbaar identificatienummer voor een beveiligingslek. AWS vergelijkt de getroffen versies en bronbestanden die bij een CVE staan met de kernelversie en de bestanden in de eigen EC2-kernelimage. Deze eerste stap gebruikt geen AI.

AWS meldde dat het script in de eigen omgeving ongeveer 70 procent van de CVE’s wegfilterde. Dat aandeel hangt sterk af van de configuratie en omgeving. De agent beoordeelt de resterende CVE’s met informatie over de aangepaste kernelboom, kernelconfiguraties, het dreigingsmodel en een rubric voor de ernst.

De agent classificeert, engineers beoordelen

De agent maakt voor elke overgebleven CVE een rij met onder meer het subsysteem, het soort kwetsbaarheid en de mogelijke aanvalsvector. Twee engineers bekijken de tabel doorgaans voordat AWS bepaalt wat er met een melding gebeurt.

AWS rapporteerde ongeveer 3,4 seconden verwerking per CVE voor de agent, tegenover minuten voor menselijke triage. Die tijd betreft alleen de beoordeling door de agent. Menselijke controle, herstel, testen en uitrol vallen erbuiten; de menselijke beoordeling bleef volgens de presentatie de traagste stap.

Justinien Bouron schatte informeel dat 5 tot 10 procent van de beslissingen van de agent problematisch was. Dat was geen formele evaluatie. De kernel telt bovendien meer dan 32.000 configuratieopties. De AWS-presentatie waarschuwde dat het uitschakelen van de verkeerde optie subtiele fouten of prestatieverlies kan veroorzaken.

Een kernelupgrade raakt ook software en platformonderdelen

Bij de upgrade van Linux 5.10 naar 6.12 verdeelde AWS de gevolgde problemen over vier categorieën. Het gaat om aandelen van de upgradeproblemen, niet om percentages CVE’s of hersteltijd.

AWS meldde daarnaast dat 15 procent van de kernelruimtefixes upstream terechtkwam. De upgrade vroeg ook aanpassingen buiten de kernelcode: een wijziging in de opslag van virtual-memory areas vertraagde mmap() en munmap(), waarna AWS het aantal mappingbewerkingen verlaagde. Een schedulerwijziging veranderde de timing van fork() en leidde tot aanpassingen in de gebruikte fork-patronen. Een hogere standaardlimiet voor blokverzoeken veroorzaakte time-outs bij firmware-I/O; AWS paste daarvoor sysctl-instellingen aan.

AWS rapporteerde voor drie opeenvolgende upgrades een kortere doorlooptijd: 24 maanden van 4.19 naar 5.10, 12 maanden van 5.10 naar 6.12 en 6 maanden van 6.12 naar 6.18. De presentatie schreef die voortgang toe aan betere hulpmiddelen, bredere testdekking en een ervaren team.

LTS-cijfers beschrijven branches, niet de EC2-blootstelling

LTS staat voor long-term support, oftewel langdurige ondersteuning. In een momentopname van 16 september 2026 telde AWS per Linux-LTS-branch de niet-verholpen CVE’s. De mediane tijd in de tabel loopt van het opnemen van een oplossing in de mainline, de hoofdontwikkelbranch van Linux, tot de release ervan in een LTS-branch.

De aantallen gelden voor de branches. Ze geven niet aan hoeveel kwetsbaarheden de EC2-kernel van AWS daadwerkelijk treffen. Daarvoor beoordeelt AWS de CVE’s tegen de eigen kernel en configuratie.

AWS kiest per CVE een passende reactie

Na de triage noemt AWS vier mogelijke reacties. Als een CVE de omgeving niet raakt, kan AWS niets doen. Bij een beperkte impact kan het team wachten op de volgende LTS-patch. Als sneller herstel nodig is, kan AWS een fix cherry-picken, oftewel gericht uit een andere branch overnemen. Wanneer een kernelupdate niet mogelijk is, kan een workaround uitkomst bieden.

De keuze hangt samen met de risico’s van het onderhoud. AWS waarschuwde dat backports naar oudere, sterk afwijkende branches lastig kunnen zijn en dat CVE-records soms noodzakelijke voorafgaande commits missen. Daardoor kan een backport een kwetsbaarheid onopgelost laten of fouten en prestatieverlies veroorzaken.