Akrites: ღია კოდის უსაფრთხოებისთვის შექმნილი კოორდინირებული ინიციატივა

2026 წლის 25 ივნისს ტექნოლოგიურმა კომპანიებმა და ფონდებმა გამოაქვეყნეს ღია წერილი სათაურით „ჩვენ ყველა დამოკიდებული ვართ ღია კოდზე. ერთად დავიცავთ მას“, რომლითაც გამოცხადდა Akrites — კოორდინირებული ინიციატივა ღია კოდის იმ პროგრამულ უზრუნველყოფაში სისუსტეების მოსაძებნად, გამოსასწორებლად და პასუხისმგებლიანად გასამჟღავნებლად, რომელზეც კრიტიკული ინფრასტრუქტურა მუშაობს. ავტორები მას ისტორიაში უდიდეს კოორდინირებულ ძალისხმევას უწოდებენ, დოკუმენტი კი Linux Foundation-ის ეგიდით ქვეყნდება.

ხელმომწერებს შორის არიან Amazon Web Services, Anthropic, Chainguard, Cisco, Citi, Endor Labs, Ericsson, Google, IBM, JPMorganChase, Microsoft და GitHub, NVIDIA, OpenAI, RapidFort, Red Hat, Rust Foundation, Sonatype, Vodafone და Zscaler; ინიციატივას მხარს უჭერენ CNCF, OpenInfra, OpenSSF და PyTorch Foundation.

რატომ ახლა: AI-მ ბალანსი შეცვალა

წერილის მთავარი არგუმენტია, რომ ხელოვნური ინტელექტი თავდამსხმელებსა და დამცველებს შორის არსებული წონასწორობა დაამსხვრია. „ღია კოდის მსხვილ პროექტში სერიოზული სისუსტის პოვნას ექსპერტს კვირები სჭირდებოდა. ახლა ამას მანქანა წუთებში აკეთებს და ხშირად ერთ გავლაზე რამდენიმე სისუსტეს აბრუნებს“, — ნათქვამია ტექსტში. შედეგად, აღმოჩენისა და გამჟღავნების ციკლი მზრუნველების შესაძლებლობებს სცდება — და ეს არა თეორიული რისკი, არამედ „ყოველი სისტემის დღევანდელი მდგომარეობაა“.

გამოსავლად კოორდინაცია სახელდება და არა კიდევ მეტი სკანირება. როცა ათობით კომპანია ერთსა და იმავე ბიბლიოთეკას დამოუკიდებლად ამოწმებს და თითოეული ცალკე ანგარიშს აგზავნის, მზრუნველები ხმაურში იკარგებიან; ყოველი დამატებითი მხარე, რომელსაც გაუსწორებელი სისუსტე აქვს, ზრდის იმის ალბათობას, რომ ინფორმაცია გამოსწორებამდე გაჟონოს. „ვერც ერთი მომწოდებლის კედელი არ არის იმდენად მაღალი, რომ ეს სხვის პრობლემად აქციოს“, — აღნიშნავენ ავტორები.

რას გვპირდება Akrites

ინიციატივა წარმოდგენილია როგორც ერთი კონფიდენციალური, სანდო სივრცე სისუსტეების აღმოჩენის, გამოსწორებისა და გამჟღავნების კოორდინაციისთვის, საერთო და სპეციალიზებული ინციდენტებზე რეაგირების გუნდით, რომელიც მზრუნველებს „ასი არაკოორდინირებული ანგარიშის ნაცვლად ერთ, პროგნოზირებად პარტნიორს“ აძლევს. სამუშაო მიმდინარეობს ზემოთ, იქ, სადაც მზრუნველები არიან, და გამოსწორებები თითოეული პროექტის საკუთარ სახლს უბრუნდება. თუ კრიტიკულ პაკეტს მზრუნველი საერთოდ არ ჰყავს, Akrites თავს „ბოლო იმედის მზრუნველად“ აცხადებს, რომ გამოსწორებამ მომხმარებლამდე მაინც მიაღწიოს.

კონფიდენციალურობა უპირობო პირობად არის დასახელებული — „გაუმჟღავნებელი ხარვეზი ფართოდ გავრცელებულ პაკეტში, ფაქტობრივად, იარაღია“ — ხოლო წარმატება გამოსწორების გამოქვეყნებით კი არა, მის რეალურ განლაგებით გაიზომება, რადგან თავდამსხმელებს AI-ის დახმარებით გამოქვეყნებული პაჩის უკუმუშავება და ექსპლუატის შექმნა სწრაფად შეუძლიათ. მონაწილეები აბარებენ ინჟინრებს, ექსპერტიზას ან დაფინანსებას.

რას ამბობენ მონაწილეები

წერილს თან ახლავს ორგანიზაციების კომენტარები. Endor Labs-ის აღმასრულებელი დირექტორი ვარუნ ბადვარი აღნიშნავს, რომ ბოლო თვეებში გამოვლენილი ათასობით დადასტურებული სისუსტიდან გამოსწორებულია 5%-ზე ნაკლები. OpenInfra Foundation-ის ტიერი კარესი მასშტაბს ასე აჩვენებს: OpenStack-ის საზოგადოებამ ერთ კვარტალში 20 უსაფრთხოების ბიულეტენი გამოსცა, მაშინ როცა მთელი 2025 წლის განმავლობაში მხოლოდ ორი იყო. JPMorganChase-ის პატ ოპეტი კი მიზანს ასე აყალიბებს: მთავარია შემცირდეს დრო გამოსწორებიდან მის განლაგებამდე.