25 июня Linux Foundation представила Akritis — отраслевую программу для поиска, исправления и ответственного раскрытия уязвимостей в open-source проектах. Инициатива призвана опередить ИИ-инструменты, которые уже находят эксплуатируемые баги за минуты и сокращают среднее время до взлома до отрицательных семи дней.

В отличие от существующих коалиций, Akritis не ведёт собственные форки и не навязывает мейнтейнерам корпоративную политику. Её задача — стать единой точкой входа для валидации уязвимостей и согласованных патчей, которые возвращаются в upstream на условиях авторов проектов.

Почему это важно

Современные ИИ-модели умеют сканировать большие кодовые базы и находить эксплуатируемые ошибки быстрее человека. По словам генерального директора Linux Foundation Джима Землина, среднее время от обнаружения уязвимости до её эксплуатации теперь составляет «минус семь дней»: к моменту публичного раскрытия злоумышленники уже могут неделю использовать баг.

Раньше для этого требовалась глубокая экспертиза. Сегодня достаточно доступа к передовой языковой модели, чтобы найти и подготовить эксплойт. Это меняет баланс сил в пользу атакующих и перегружает мейнтейнеров потоком дубликатов, конфликтующих отчётов и частных раскрытий из разных источников.

Программа строится вокруг трёх элементов:

• Единая команда реагирования (SIRT) — доверенный посредник между исследователями и мейнтейнерами, который получает отчёты, проверяет их и координирует исправления.
• Стандартизированный CVD-процесс — использует CVE, TLP, CWE, CVSS, EPSS, SSVC и VEX для единого языка рисков и статусов уязвимостей.
• Возврат патчей в upstream — исправления передаются в исходный проект, а не в отдельный форк. Если активного мейнтейнера нет, Akritis временно берёт на себя роль «мейнтейнера последней надежды».

The space is crowded, and the track record is mixed. What I think is genuinely different here is narrow: one coordinated process, so open source maintainers face a single partner instead of a hundred separate reporters.

Mike DolanSVP of Legal, Linux Foundation

Кто участвует

В инициативе участвуют крупнейшие облачные провайдеры, ИИ-лаборатории, банки, телекомы и вендоры безопасности. Среди них — Amazon Web Services, Anthropic, Chainguard, Cisco, Citi, Endor Labs, Ericsson, Google, IBM, JPMorganChase, Microsoft, GitHub, NVIDIA, OpenAI, RapidFort, Red Hat, Rust Foundation, Sonatype, Vodafone и Zscaler.

Примечательно, что некоторые из них уже имеют собственные программы — например, Chainguard (Athena) и IBM с Red Hat (Project Lightwell). Но Akritis позиционируется не как конкурент, а как общая координационная инфраструктура поверх их работы.

Контекст

The software supply chain is only as strong as the upstream it draws from, and we see how thin that layer really is. Akritis gives the industry one coordinated way to fix vulnerabilities upstream before they’re exploited, with maintainers still in control.

Dan LorencCEO and co-founder, Chainguard

По оценкам Sonatype, одна уязвимая библиотека в центральном репозитории может лежать в основе тысяч организаций. Поэтому единственный upstream-фикс способен снизить риски сразу для целой экосистемы.

Выводы

Akritis — попытка превратить хаотичный поток ИИ-генерированных отчётов об уязвимостях в предсказуемый процесс. Если коалиция сработает, мейнтейнеры получат организованного союзника в тот момент, когда атакующие получают массовый инструментарий для автоматического поиска багов.

Главный риск — не технический, а организационный: заставить десятки конкурентов делиться данными и согласовывать действия быстрее, чем злоумышленники адаптируют свои ИИ-инструменты.

Источник: DevOps.com — Akrites: The latest attempt to protect open source from AI attacks has arrived