Akrites: açıq mənbə təhlükəsizliyi üçün sənaye miqyaslı koordinasiyalı təşəbbüs

25 iyun 2026-cı ildə bir qrup texnologiya şirkəti və fond "Hamımız açıq mənbədən asılıyıq. Onu birlikdə müdafiə edəcəyik" başlıqlı açıq məktub dərc edərək Akrites-i elan etdi: kritik infrastrukturun üzərində işlədiyi açıq mənbə proqram təminatındakı zəiflikləri tapmaq, düzəltmək və məsuliyyətli şəkildə açıqlamaq üçün koordinasiyalı təşəbbüs. Müəlliflər onu tarixdə ən böyük koordinasiyalı səy adlandırır, sənəd isə Linux Foundation himayəsində dərc olunur.

İmzaçılar arasında Amazon Web Services, Anthropic, Chainguard, Cisco, Citi, Endor Labs, Ericsson, Google, IBM, JPMorganChase, Microsoft və GitHub, NVIDIA, OpenAI, RapidFort, Red Hat, Rust Foundation, Sonatype, Vodafone və Zscaler var. Təşəbbüsü CNCF, OpenInfra, OpenSSF və PyTorch Foundation dəstəkləyir.

Niyə məhz indi: AI tənliyi dəyişdi

Məktubun əsas arqumenti budur ki, süni intellekt hücum edənlərlə müdafiə edənlər arasındakı əvvəlki tarazlığı dağıdıb. Mətndə deyilir: "Böyük açıq mənbə layihəsində ciddi zəiflik tapmaq əvvəllər mütəxəssisdən həftələr tələb edirdi. İndi bunu maşın dəqiqələr içində edir və çox vaxt model bir keçiddə bir neçə zəiflik qaytarır." Nəticə aşkarlama və açıqlama dövrünün qoruyucuların yamaq imkanlarını üstələməsidir və bu, nəzəri risk deyil, "məsuliyyətimizdə olan hər bir sistemin bugünkü vəziyyətidir".

Çatışmayan daha çox skanerləmə deyil, koordinasiyadır. Onlarla şirkət eyni kitabxananı müstəqil şəkildə yoxlayıb hər biri ayrı hesabat açanda qoruyucular səs-küyün altında qalır; yamaqsız zəifliyi əlində saxlayan hər əlavə tərəf düzəliş gəlməzdən əvvəl məlumatın sızması ehtimalını artırır. Müəlliflər yazır: "Heç bir satıcının divarı bunu başqasının problemi edəcək qədər hündür deyil."

Akrites nə vəd edir

Akrites aşkarlama, düzəltmə və açıqlamanı koordinasiya etmək üçün vahid məxfi və etibarlı məkan kimi təqdim olunur; ümumi və ixtisaslaşmış insidentlərə cavab qrupu qoruyuculara "yüz dağınıq hesabat yerinə bir proqnozlaşdırıla bilən tərəfdaş" verir. İş axının yuxarısında — qoruyucuların olduğu yerdə — aparılır və düzəlişlər hər layihənin öz evinə qaytarılır. Kritik paketin qoruyucusu ümumiyyətlə yoxdursa, Akrites düzəlişin vaxtında hamıya çatması üçün "son ümid qoruyucusu" kimi çıxış edəcəyini bildirir.

Məxfilik danışılmaz şərt kimi göstərilir — "geniş yayılmış paketdə açıqlanmamış qüsur, əslində, silahdır" — və uğur yamanın dərc edilməsi ilə deyil, real quraşdırılması ilə ölçüləcək, çünki hücum edənlər AI köməyi ilə buraxılmış yamaları tez tərsinə mühəndislik edib eksployt hazırlaya bilirlər. İştirakçılar mühəndis, ekspertiza və ya maliyyə ayıracaq.

İştirakçılar nə deyir

Məktuba iştirakçı təşkilatların əksəriyyətinin bəyanatları əlavə olunub. Endor Labs qeyd edir ki, son aylarda aşkarlanmış minlərlə təsdiqlənmiş açıq mənbə zəifliyindən 5%-dən azı yamaqlanıb. OpenInfra Foundation miqyası belə göstərir: OpenStack icması bir rübdə 20 təhlükəsizlik bülleteni yayımladı, halbuki bütün 2025-ci ildə onlar cəmi iki idi. JPMorganChase məqsədi düzəlişdən quraşdırmaya qədər vaxtın qısaldılması kimi müəyyən edir, Microsoft isə Akrites-in üzərində qurulduğu təcrübə kimi OpenSSF və Alpha-Omega-nı göstərir.