Linux Foundation запустила Akritis — коалицию для защиты open source от ИИ-атак
Linux Foundation представила программу Akritis для координированного исправления уязвимостей в open source до их эксплуатации ИИ-инструментами. В коалиции — крупнейшие облачные провайдеры, ИИ-лаборатории и банки.
Новости Tproger
25 июня Linux Foundation представила Akritis — отраслевую программу для поиска, исправления и ответственного раскрытия уязвимостей в open-source проектах. Инициатива призвана опередить ИИ-инструменты, которые уже находят эксплуатируемые баги за минуты и сокращают среднее время до взлома до отрицательных семи дней.
В отличие от существующих коалиций, Akritis не ведёт собственные форки и не навязывает мейнтейнерам корпоративную политику. Её задача — стать единой точкой входа для валидации уязвимостей и согласованных патчей, которые возвращаются в upstream на условиях авторов проектов.
Ключевые выводы
Linux Foundation запустила программу Akritis 25 июня 2026 года.
Участники включают AWS, Anthropic, Google, Microsoft, OpenAI, NVIDIA, IBM, JPMorganChase, GitHub, Red Hat, Sonatype и других.
Цель — единый координированный процесс раскрытия уязвимостей (CVD) в open source до их массовой эксплуатации ИИ-атаками.
Akritis обещает не форкать проекты и выступать «мейнтейнером последней надежды» для заброшенных пакетов.
Первичное финансирование поступает от фонда Alpha-Omega.
Почему это важно
Современные ИИ-модели умеют сканировать большие кодовые базы и находить эксплуатируемые ошибки быстрее человека. По словам генерального директора Linux Foundation Джима Землина, среднее время от обнаружения уязвимости до её эксплуатации теперь составляет «минус семь дней»: к моменту публичного раскрытия злоумышленники уже могут неделю использовать баг.
Раньше для этого требовалась глубокая экспертиза. Сегодня достаточно доступа к передовой языковой модели, чтобы найти и подготовить эксплойт. Это меняет баланс сил в пользу атакующих и перегружает мейнтейнеров потоком дубликатов, конфликтующих отчётов и частных раскрытий из разных источников.
Как устроен Akritis
Программа строится вокруг трёх элементов:
- Единая команда реагирования (SIRT) — доверенный посредник между исследователями и мейнтейнерами, который получает отчёты, проверяет их и координирует исправления.
- Стандартизированный CVD-процесс — использует CVE, TLP, CWE, CVSS, EPSS, SSVC и VEX для единого языка рисков и статусов уязвимостей.
- Возврат патчей в upstream — исправления передаются в исходный проект, а не в отдельный форк. Если активного мейнтейнера нет, Akritis временно берёт на себя роль «мейнтейнера последней надежды».
The space is crowded, and the track record is mixed. What I think is genuinely different here is narrow: one coordinated process, so open source maintainers face a single partner instead of a hundred separate reporters.
Кто участвует
В инициативе участвуют крупнейшие облачные провайдеры, ИИ-лаборатории, банки, телекомы и вендоры безопасности. Среди них — Amazon Web Services, Anthropic, Chainguard, Cisco, Citi, Endor Labs, Ericsson, Google, IBM, JPMorganChase, Microsoft, GitHub, NVIDIA, OpenAI, RapidFort, Red Hat, Rust Foundation, Sonatype, Vodafone и Zscaler.
Примечательно, что некоторые из них уже имеют собственные программы — например, Chainguard (Athena) и IBM с Red Hat (Project Lightwell). Но Akritis позиционируется не как конкурент, а как общая координационная инфраструктура поверх их работы.
Контекст
The software supply chain is only as strong as the upstream it draws from, and we see how thin that layer really is. Akritis gives the industry one coordinated way to fix vulnerabilities upstream before they’re exploited, with maintainers still in control.
По оценкам Sonatype, одна уязвимая библиотека в центральном репозитории может лежать в основе тысяч организаций. Поэтому единственный upstream-фикс способен снизить риски сразу для целой экосистемы.
Часто задаваемые вопросы
Что такое Akritis?
Akritis — инициатива Linux Foundation для координированного поиска, исправления и раскрытия уязвимостей в open-source проектах. Её цель — опередить ИИ-ускоренные атаки на цепочки поставок ПО.
Кто финансирует программу?
Первичное финансирование поступает от фонда Alpha-Omega, который уже поддерживает крупные проекты по выявлению и устранению уязвимостей в критическом open-source ПО.
Чем Akritis отличается от Athena и Project Lightwell?
Athena Chainguard и Project Lightwell IBM/Red Hat также борются с уязвимостями, но предлагают собственные платформы и инструменты. Akritis фокусируется на едином координационном процессе без форков и без навязывания вендорских решений.
Почему ИИ меняет ситуацию с уязвимостями?
ИИ-модели находят баги в коде за минуты и пишут эксплойты без глубокой экспертизы. Это сокращает окно между обнаружением уязвимости и её эксплуатацией до отрицательных значений.
Что будет с заброшенными проектами?
Akritis выступает «мейнтейнером последней надежды»: если критический пакет не имеет активного сопровождающего, программа координирует исправления для последних поддерживаемых версий.
Выводы
Akritis — попытка превратить хаотичный поток ИИ-генерированных отчётов об уязвимостях в предсказуемый процесс. Если коалиция сработает, мейнтейнеры получат организованного союзника в тот момент, когда атакующие получают массовый инструментарий для автоматического поиска багов.
Главный риск — не технический, а организационный: заставить десятки конкурентов делиться данными и согласовывать действия быстрее, чем злоумышленники адаптируют свои ИИ-инструменты.
Источник: DevOps.com — Akrites: The latest attempt to protect open source from AI attacks has arrived
