Akrites. բաց կոդի անվտանգության պաշտպանության ոլորտային համակարգված նախաձեռնությունը

2026 թվականի հունիսի 25-ին տեխնոլոգիական ընկերությունների և հիմնադրամների խումբը հրապարակեց «Մենք բոլորս կախված ենք բաց կոդից. միասին կպաշտպանենք այն» վերնագրով բաց նամակ, որով հայտարարվում է Akrites-ը՝ համակարգված նախաձեռնություն՝ կրիտիկական ենթակառուցվածքի վրա աշխատող բաց կոդի ծրագրերում խոցելիությունները գտնելու, ուղղելու և պատասխանատու կերպով բացահայտելու համար։ Հեղինակները այն անվանում են պատմության մեջ ամենամեծ համակարգված ջանքը, իսկ փաստաթուղթը հրապարակվում է Linux Foundation-ի հովանու ներքո։

Ստորագրողների թվում են Amazon Web Services-ը, Anthropic-ը, Chainguard-ը, Cisco-ն, Citi-ն, Endor Labs-ը, Ericsson-ը, Google-ը, IBM-ը, JPMorganChase-ը, Microsoft-ը և GitHub-ը, NVIDIA-ն, OpenAI-ն, RapidFort-ը, Red Hat-ը, Rust Foundation-ը, Sonatype-ը, Vodafone-ը և Zscaler-ը։ Նախաձեռնությանը աջակցում են CNCF-ը, OpenInfra-ն, OpenSSF-ը և PyTorch Foundation-ը։

Ինչու հիմա. AI-ն փոխեց հավասարակշռությունը

Նամակի հիմնական փաստարկն այն է, որ արհեստական բանականությունը քանդել է հարձակվողների և պաշտպանների միջև եղած նախկին հավասարակշռությունը։ «Բաց կոդի խոշոր նախագծում լուրջ խոցելիություն գտնելը նախկինում փորձագետից շաբաթներ էր պահանջում։ Հիմա դա մեքենան անում է րոպեների ընթացքում, և հաճախ մոդելը մեկ անցումով մի քանի խոցելիություն է վերադարձնում»,— ասվում է տեքստում։ Արդյունքը հայտնաբերման ու բացահայտման այնպիսի ցիկլ է, որը գերազանցում է սպասարկողների՝ ուղղումներ թողարկելու հնարավորությունները, և սա տեսական ռիսկ չէ։

Պակասում է ոչ թե ևս մեկ սկանավորում, այլ համակարգումը։ Երբ տասնյակ ընկերություններ նույն գրադարանի վերաբերյալ առանձին զեկույցներ են ներկայացնում, սպասարկողները խեղդվում են աղմուկի մեջ. չուղղված խոցելիություն ունեցող յուրաքանչյուր լրացուցիչ կողմ մեծացնում է հավանականությունը, որ տեղեկությունը կհոսի ուղղումից առաջ։ «Ոչ մի մատակարարի պարիսպ այնքան բարձր չէ, որ սա ուրիշի խնդիրը դարձնի»,— գրում են հեղինակները։

Ինչ է խոստանում Akrites-ը

Akrites-ը ներկայացվում է որպես մեկ գաղտնի, վստահելի տարածք՝ խոցելիությունների հայտնաբերման, ուղղման և բացահայտման համակարգման համար, ընդհանուր և մասնագիտացված անվտանգության միջադեպերին արձագանքման թիմով, որը սպասարկողներին տալիս է «հարյուր չհամակարգված զեկույցի փոխարեն մեկ կանխատեսելի գործընկեր»։ Աշխատանքը կատարվում է հոսքի վերևում՝ սպասարկողների մոտ, և ուղղումները վերադառնում են յուրաքանչյուր նախագծի սեփական տուն։ Եթե կրիտիկական փաթեթն ընդհանրապես սպասարկող չունի, Akrites-ը հայտարարում է, որ հանդես կգա որպես «վերջին հույսի սպասարկող», որ ուղղումը հասնի բոլորին։

Գաղտնիությունը նշվում է որպես անփոփոխ պայման՝ «չբացահայտված թերությունը լայնորեն տարածված փաթեթում, ըստ էության, զենք է», իսկ հաջողությունը կչափվի ոչ թե ուղղման հրապարակմամբ, այլ դրա փաստացի տեղադրմամբ, քանի որ հարձակվողները AI-ի օգնությամբ արագ հետազոտում են հրապարակված կարկատանները։ Մասնակիցները կտրամադրեն ինժեներներ, փորձաքննություն կամ ֆինանսավորում։

Ինչ են ասում մասնակիցները

Նամակին կցված են ներգրավված կազմակերպությունների մեծ մասի հայտարարությունները։ Endor Labs-ը նշում է, որ վերջին ամիսներին հայտնաբերված հազարավոր հաստատված բաց կոդի խոցելիություններից ուղղվել է 5%-ից պակասը։ OpenInfra Foundation-ը մասշտաբը ցույց է տալիս այսպես. OpenStack-ի համայնքը մեկ եռամսյակում թողարկել է 20 ծանուցում, ամբողջ 2025-ին՝ ընդամենը երկու։ JPMorganChase-ը նպատակը ձևակերպում է որպես ուղղումից տեղադրում ընկած ժամանակի կրճատում։