Linux Foundation, OpenSSF e oltre 20 leader tecnologici lanciano Akrites, una piattaforma condivisa per la gestione automatizzata di vulnerabilità open‑source potenziata da LLM.
Nel panorama attuale, l’introduzione massiccia di intelligenza artificiale nei processi di sviluppo software ha accelerato sia l’innovazione sia la produzione di vulnerabilità. Per rispondere a questo fenomeno, la Linux Foundation, in collaborazione con l’Open Source Security Foundation (OpenSSF) e più di venti membri fondatori, ha dato vita ad Akrites, una coalizione dedicata a coordinare la segnalazione e la mitigazione di vulnerabilità in progetti open‑source.
Akrites riunisce un mix eterogeneo di attori: laboratori di ricerca AI come Anthropic e OpenAI, giganti del cloud (Amazon Web Services, Google, Microsoft, Cisco), fornitori di infrastrutture (IBM, Red Hat, NVIDIA), aziende di sicurezza (Chainguard, Endor Labs, Zscaler) e grandi imprese finanziarie e di telecomunicazioni (Citi, JPMorgan Chase, Ericsson, Vodafone). Ogni partecipante è tenuto a contribuire con uno‑cui‑dieci ingegneri e a versare una quota di iscrizione, suddivisa in tre livelli – Associate, General e Premier – che determinano l’accesso a benefici specifici.
Al lancio, la Linux Foundation ha delineato due obiettivi principali:
Questi pilastri mirano a trasformare la frammentata segnalazione di bug in un flusso continuo, automatizzato e verificabile.
Il cuore del progetto è una piattaforma di gestione delle vulnerabilità costruita su VINCE (Vulnerability Information and Coordination Environment), sviluppata dal Computer Emergency Response Team Coordination Center (CERT/CC) della Carnegie Mellon University nel 2020. Akrites estende VINCE con capacità avanzate di large language models (LLM), consentendo:
Il team di sviluppo, guidato da Christopher “CRob” Robinson, CTO di OpenSSF e CTO di Akrites, ha già prodotto una prima bozza della catena di strumenti e sta conducendo penetration test e audit di sicurezza con esperti interni ed esterni.
Secondo le dichiarazioni di Robinson, la piattaforma sarà open‑source e disponibile a chiunque desideri adottarla per le proprie esigenze di gestione delle vulnerabilità. L’obiettivo è che, a partire da settembre 2026, Akrites inizi a ricevere report automatizzati da parte della community globale, creando un flusso continuo di informazioni che potranno essere indirizzate direttamente agli upstream maintainers dei progetti open‑source.
L’arrivo di Akrites potrebbe cambiare radicalmente il modo in cui le vulnerabilità vengono gestite nell’open‑source:
Nonostante le potenzialità, Akrites dovrà affrontare alcune criticità:
Akrites rappresenta una risposta coordinata e tecnologicamente avanzata alla crescente ondata di vulnerabilità generate o scoperte tramite intelligenza artificiale. Unendo le risorse di leader del settore, una piattaforma basata su VINCE e le potenzialità dei large language models, la coalizione punta a creare un ecosistema più resiliente, dove le segnalazioni di bug non rimangono isolate ma diventano parte di un processo continuo di difesa collettiva. Se i piani di lancio saranno rispettati, a partire da settembre 2026 potremo assistere al primo vero Security Incident Response Team open‑source, un passo decisivo verso una sicurezza più proattiva e condivisa.
Rimani aggiornato su ulteriori sviluppi di Akrites e su come la piattaforma potrà influenzare la tua strategia di gestione delle vulnerabilità.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
