Linux Foundation запускает Akrites для борьбы с угрозами в open-source, вызванными ИИ
Стремительное развитие искусственного интеллекта коренным образом изменило ландшафт кибербезопасности, предоставив злоумышленникам возможность сканировать и эксплуатировать уязвимости в коде с беспрецедентной скоростью. Чтобы противостоять этой растущей угрозе, Linux Foundation запустила Akrites — масштабную совместную инициативу, направленную на устранение критических недостатков в open-source решениях до того, как их смогут использовать эксплойты на базе ИИ.
Единый фронт против эксплойтов, ускоренных ИИ
Мотивация создания Akrites является прямым ответом на изменение «баланса сил» в сфере кибербезопасности. Исторически поиск и исправление багов требовали значительного экспертного участия человека как со стороны защиты, так и со стороны нападения. Однако современные LLM и модели ИИ теперь могут сканировать огромные кодовые базы за считанные минуты, а не недели, снижая порог вхождения для проведения сложных атак.
Для решения этой проблемы была сформирована коалиция, объединившая 20 технологических гигантов, ИИ-лабораторий и финансовых институтов. В число учредителей вошли такие лидеры отрасли, как Amazon Web Services (AWS), Anthropic, Google, Microsoft, NVIDIA, OpenAI, IBM и Cisco, а также финансовые тяжеловесы, такие как JPMorganChase и Citi. Такая концентрация ресурсов призвана сократить разрыв между скоростью обнаружения уязвимостей с помощью ИИ и нынешней медлительностью ручного исправления ошибок.
Решение проблемы фрагментированного реагирования («Patchwork»)
Современные методы обеспечения безопасности часто фрагментированы и неэффективны. Многие организации проводят независимые сканирования одних и тех же пакетов, что приводит к дублированию отчетов и конфликтующим исправлениям. Эта модель «лоскутного одеяла» (patchwork) заваливает мейнтейнеров open-source проектов горой дублирующихся находок, из-за чего реальные, эксплуатируемые баги часто теряются в общем шуме.
Срочность задачи подчеркивают данные Endor Labs, согласно которым из тысяч подтвержденных уязвимостей в open-source, выявленных за последние месяцы, фактически были исправлены менее пяти процентов. Akrites стремится решить эту проблему с помощью общей группы реагирования на инциденты безопасности (SIRT). Эта команда выступает в качестве централизованного контактного лица, проверяя отчеты, фильтруя дубликаты и координируя бесшовное внедрение исправлений напрямую с мейнтейнерами проектов.
Стандартизированное раскрытие информации и роль «мейнтейнера последней надежды»
Akrites работает в соответствии со строгими протоколами скоординированного раскрытия уязвимостей (Coordinated Vulnerability Disclosure). Чтобы предотвратить утечки, которые могли бы подсказать атакующим путь, инициатива использует протокол светофорного режима (Traffic Light Protocol, TLP), при котором все первоначальные отчеты начинаются с уровня TLP:RED — наивысшего уровня конфиденциальности. Фреймворк также интегрирует общепринятые отраслевые стандарты, такие как идентификаторы CVE и оценка серьезности CVSS, для обеспечения технической согласованности.
Одним из наиболее значимых нововведений Akrites является подход к заброшенным или недостаточно обеспеченным ресурсами проектам. В экосистеме open-source многие критически важные пакеты управляются волонтерами, у которых может не хватать ресурсов для решения неотложных угроз безопасности. Akrites планирует выступать в роли «мейнтейнера последней надежды», выпуская исправления для критических пакетов, у которых больше нет активных мейнтейнеров, тем самым обеспечивая безопасность глобальной цепочки поставок программного обеспечения.
Основные выводы
- Срочность, вызванная ИИ: Akrites разработан для противодействия моделям ИИ, которые могут выявлять и эксплуатировать программные уязвимости значительно быстрее, чем разработчики-люди.
- Централизованный интеллект: Используя единую группу SIRT, инициатива устраняет избыточную отчетность и снижает административную нагрузку на мейнтейнеров open-source проектов.
- Защита цепочки поставок: Программа внедряет модель «мейнтейнера последней надежды», чтобы гарантировать исправление критических, не поддерживаемых пакетов до того, как ими воспользуются злоумышленники.