Linux Foundation Melancarkan Akrites untuk Menangani Ancaman Sumber Terbuka Berasaskan AI

Kemajuan pesat kecerdasan buatan telah mengubah landskap keselamatan siber secara fundamental, memberikan penyerang keupayaan untuk mengimbas dan mengeksploitasi kerentanan kod pada kelajuan yang tidak pernah berlaku sebelum ini. Bagi menangani ancaman yang semakin meningkat ini, Linux Foundation telah melancarkan Akrites, sebuah inisiatif kolaboratif besar yang direka untuk menampal kelemahan sumber terbuka yang kritikal sebelum ia boleh dijadikan senjata oleh eksploitasi berkuasa AI.

Barisan Bersatu Menentang Eksploitasi Berpacukan AI

Motivasi di sebalik Akrites adalah tindak balas langsung terhadap perubahan "imbangan kuasa" dalam keselamatan siber. Secara sejarahnya, mencari dan membaiki pepijat memerlukan kepakaran manusia yang signifikan di kedua-dua pihak pertahanan dan serangan. Walau bagaimanapun, LLM moden dan model AI kini boleh mengimbas pangkalan kod yang besar dalam masa beberapa minit berbanding minggu, sekali gus merendahkan halangan untuk serangan yang canggih.

Untuk menangani perkara ini, sebuah koalisi yang terdiri daripada 20 gergasi teknologi, makmal AI, dan institusi kewangan telah membentuk pakatan ini. Ahli pengasas termasuk pemimpin industri seperti Amazon Web Services (AWS), Anthropic, Google, Microsoft, NVIDIA, OpenAI, IBM, dan Cisco, bersama-sama gergasi kewangan seperti JPMorganChase dan Citi. Pemusatan sumber ini bertujuan untuk merapatkan jurang antara kepantasan penemuan beracuankan AI dengan kelambatan proses penampalan manual pada masa kini.

Menyelesaikan Masalah Tindak Balas "Patchwork"

Amalan keselamatan semasa sering kali terfragmentasi dan tidak cekap. Banyak organisasi melakukan imbasan bebas pada pakej yang sama, yang membawa kepada laporan berulang dan penampalan yang bercanggah. Model "patchwork" ini menimbus penyelenggara sumber terbuka di bawah timbunan penemuan pendua, yang sering menyebabkan pepijat sebenar yang boleh dieksploitasi hilang dalam lambakan maklumat tersebut.

Kesegeraan ini diperkukuhkan lagi oleh data daripada Endor Labs, yang mendedahkan bahawa daripada ribuan kerentanan sumber terbuka yang telah disahkan dikenal pasti dalam beberapa bulan kebelakangan ini, kurang daripada lima peratus sebenarnya telah ditampal. Akrites berusaha untuk menyelesaikan perkara ini melalui Security Incident Response Team (SIRT) yang dikongsi bersama. Pasukan ini bertindak sebagai titik hubungan berpusat, menyemak laporan, menapis pendua, dan menyelaraskan pembaikan yang lancar secara terus dengan penyelenggara projek.

Pendedahan Terpiawai dan "Penyelenggara Pilihan Terakhir"

Akrites beroperasi di bawah protokol Coordinated Vulnerability Disclosure yang ketat. Untuk mengelakkan kebocoran yang boleh memberi petunjuk kepada penyerang, inisiatif ini menggunakan Traffic Light Protocol (TLP), di mana semua laporan awal bermula pada TLP:RED—tahap kerahsiaan tertinggi. Rangka kerja ini juga menyepadukan piawaian industri yang telah ditetapkan seperti pengenal pasti CVE dan skor keterukan CVSS untuk memastikan konsistensi teknikal.

Salah satu inovasi paling signifikan Akrites adalah pendekatannya terhadap projek yang telah ditinggalkan atau kekurangan sumber. Dalam ekosistem sumber terbuka, banyak pakej kritikal diuruskan oleh sukarelawan yang mungkin kekurangan kapasiti untuk menangani ancaman keselamatan yang mendesak. Akrites merancang untuk bertindak sebagai "penyelenggara pilihan terakhir," dengan mengambil alih untuk menghantar penampalan bagi pakej kritikal yang tidak lagi mempunyai penyelenggara aktif, bagi memastikan rantaian bekalan perisian global kekal selamat.

Ringkasan Utama

• Kesegeraan Berasaskan AI: Akrites direka untuk menentang model AI yang boleh mengenal pasti dan mengeksploitasi kerentanan perisian dengan jauh lebih pantas daripada pembangun manusia.
• Perisikan Berpusat: Dengan menggunakan satu SIRT, inisiatif ini menghapuskan pelaporan berulang dan mengurangkan beban pentadbiran ke atas penyelenggara sumber terbuka.
• Perlindungan Rantaian Bekalan: Program ini memperkenalkan model "penyelenggara pilihan terakhir" untuk memastikan pakej kritikal yang tidak diselenggara ditampal sebelum ia boleh dieksploitasi.