Linux Foundation объявила о запуске Akrites — совместной инициативы технологических компаний, ИИ-лабораторий и банков для ускоренного устранения уязвимостей в критически важном open-source ПО до того, как их начнут использовать злоумышленники с помощью ИИ.
В число участников-основателей вошли Amazon Web Services, Anthropic, Cisco, Citi, Google, IBM, JPMorganChase, Microsoft, NVIDIA, OpenAI, Red Hat, Rust Foundation, Vodafone и Zscaler. Всего к проекту присоединяются около 20 организаций.
Поводом для запуска Akrites Linux Foundation называет изменение баланса сил в безопасности ПО. Если раньше поиск и исправление серьёзных ошибок в открытом коде требовали сопоставимого уровня подготовки как от защитников, так и от атакующих, то теперь современные ИИ-модели могут проверять крупные проекты за минуты вместо недель.
Это означает, что инструменты для поиска уязвимостей становятся доступнее даже для злоумышленников без глубокой технической подготовки. В Linux Foundation считают, что нынешняя модель реагирования на такие проблемы работает фрагментарно: разные организации отдельно проверяют одни и те же пакеты, по нескольку раз отправляют одинаковые отчёты и иногда предлагают противоречащие друг другу исправления.
Из-за этого сопровождающие проектов получают поток дублей, а действительно опасные ошибки теряются в шуме, в том числе в сообщениях, сгенерированных ИИ. Гендиректор Endor Labs Варун Бадхвар подчеркнул срочность задачи: из тысяч подтверждённых уязвимостей в open-source за последние месяцы исправлено меньше 5%.
Ключевым элементом Akrites станет общая команда Security Incident Response Team, или SIRT. Она будет работать как единая точка контакта для сопровождающих open-source проектов вместо десятков отдельных уведомлений от разных компаний.
Команда будет проверять входящие сообщения, отсеивать дубли и координировать выпуск исправлений. Для конфиденциального раскрытия информации об уязвимостях Akrites использует стандартный процесс Coordinated Vulnerability Disclosure.
Инициатива также опирается на уже используемые в отрасли стандарты: систему идентификаторов CVE, шкалу оценки критичности CVSS и протокол TLP, который определяет, кому и в каком объёме можно передавать сведения об инциденте.
Конфиденциальность названа одним из главных принципов работы. Каждый отчёт сначала получает метку TLP:RED — это самый высокий уровень ограничения доступа, при котором сведения видит только назначенная команда по конкретному случаю.
После подготовки исправления оно возвращается в исходный проект на условиях его сопровождающего, чтобы разработчики сохраняли контроль над кодом. Если у критически важного пакета больше нет активного сопровождающего, что часто бывает в волонтёрских проектах, Akrites планирует выступать как «сопровождающий последней инстанции» и выпускать патч самостоятельно.
Инициатива также собирается координировать работу с государственными ведомствами, чтобы частные и публичные структуры действовали согласованно. Начальное финансирование проект получил от Alpha-Omega, целевого фонда под управлением Linux Foundation.
Linux Foundation также пригласила другие организации присоединиться к Akrites и предоставить инженерные ресурсы или финансирование.
Источник: The Decoder, Linux Foundation.
