Spotify verdubbelt codeveranderingen terwijl AI kritieke kernelzwakte vindt

Spotify meldde dat AI-ondersteunde ontwikkeling zijn maandelijkse samengevoegde wijzigingen meer dan verdubbelde van ongeveer 8.100 naar 17.000 op jaarbasis in augustus, volgens InfoQ. Deze stijging in snelheid ging gepaard met significante geautomatiseerd onderhoud, waarbij Spotify's Fleet Management-systeem meer dan 2,5 miljoen geautomatiseerde onderhoudspullrequests samenvoegde, waarvan de meeste automatisch werden samengevoegd na veiligheidscontroles. De efficiëntiewinsten werden verder benadrukt door een recente Java-migratie over backend-services die slechts drie dagen in beslag nam, zoals opgemerkt door InfoQ. Deze versnelling in levering valt echter samen met een periode waarin AI-tools zelf ernstige beveiligingskwetsbaarheden hebben ontdekt, wat suggereert dat snelheid in balans moet zijn met strenge kwaliteitscontroles.

In dezelfde periode ontdekte Tencent Zhuque Lab een kritieke zwakte in de Linux-kernel met behulp van een multi-agent AI-systeem genaamd Corvus AI, zoals gerapporteerd door The Hacker News. De kwetsbaarheid, bekend als Vghost, stelt lokale gebruikers in staat om rootrechten te verkrijgen en mogelijk virtuele machines te verlaten naar de host, en beïnvloedt Linux-kernels vanaf versie 4.11 tot en met 7.2-rc4. Deze ontdekking onderstreept de dubbele aard van AI in softwareontwikkeling: het kan de ontwikkeling versnellen, maar ook diepgewortelde problemen blootleggen die menselijke review mogelijk mist. The Hacker News merkte op dat de zwakte een lokale gebruiker in staat stelt om kernelgeheugen naar wens te lezen en te schrijven, een mogelijkheid die gedurende bijna een decennium aan kernelversies blijft bestaan.

Tegelijkertijd bracht Next.js op 14 oktober een buitengewone beveiligingsupdate uit om twee kritieke zwaktes voor externe code-uitvoering aan te pakken, volgens The Hacker News. Vercel, de ontwikkelaar van Next.js, beoordeelde beide zwaktes voor code-uitvoering als kritiek met een CVSS-score van 9,5. De update pakte ook een zwakte van hoge ernst voor denial-of-service aan die App Router-apps beïnvloedt. The Hacker News meldde dat een van de onderliggende problemen, CVE-2026-96889 in librsvg, op 23 september publiek werd gemaakt en op 27 september werd opgelost in sharp, wat het belang van tijdige dependency-patching benadrukt. Deze gebeurtenissen illustreren gezamenlijk dat, hoewel AI het volume van codeveranderingen drastisch kan verhogen, zoals gezien bij Spotify, het ook robuuste menselijke review, geautomatiseerd testen dat faalt zonder fixes, en strikt dependency-beheer vereist om beveiliging en betrouwbaarheid te handhaven.