Linux 基金会于周四与 19 个创始组织（Amazon、Anthropic、花旗、Google、摩根大通、微软、NVIDIA、OpenAI 等）一起推出了 Akrites，以在人工智能攻击者利用关键开源软件之前协调对关键开源软件的修补。
该举措解决了人工智能紧迫的时间问题。 Frontier 模型现在可以扫描一个主要的开源项目，并在几分钟内返回多个已确认的漏洞，而这在过去需要熟练的安全研究人员花费数周的时间才能完成。正如 Decrypt 报道的，Claude Opus 4.8 在一天内发现了 Zcash Orchard 隐私池中的一个严重缺陷，暴露了一个经过四年密码学家审查后仍然存在的错误。
如果白帽黑客发现了这些缺陷，那就万事大吉了。如果恶意行为者这样做，事情可能会变得非常混乱，速度非常快。人类副首席信息安全官杰森·克林顿在信中表示，现有的协调披露模型“已经落后于人工智能现在发现漏洞的速度”，而要在上游进行修复需要“在发现结果被披露和利用之前”进行协调。
Akrites 之前的协调披露模型并不是为这种速度而构建的。多个组织会独立扫描相同的库，并在修复错误之前经历漫长的官僚流程——所有 19 个创始组织签署的公开信将这一过程称为“将维护者埋在噪音之下”。
Endor Labs 首席执行官 Varun Badhwar 更进一步：近几个月来，在人工智能出现的数千个经过验证的开源漏洞中，“只有不到 5% 得到了修补。”
Akrites 用一个单独的、保密的安全事件响应团队取代了该流程——维护人员的一个可预测的合作伙伴，而不是大量不协调的报告。修复程序将根据维护者的条款返回到每个项目的原始存储库，并使用漏洞跟踪标准。当关键软件包没有活跃的维护者时，Akrites 承诺作为最后的维护者介入。
该程序最初是为了防止泄密而构建的——这封公开信将广泛部署的软件包中未公开的缺陷称为“武器”。 Rust 基金会首席执行官 Rebecca Rumbul 表示，长期以来，开源维护者的善意被视为理所当然，这一举措将有助于他们协调工作。
“Akrites 承诺与上游维护人员进行有意义的协调，提供财务和全职支持，以负责任地查找、修复和披露安全漏洞，并由科技和金融领域最具影响力的公司真诚承诺解决这一问题，”她说。
摩根大通首席信息安全官帕特·奥佩特 (Pat Opet) 概述了成功所需的实际努力。奥佩特说：“人工智能已将漏洞发现和利用之间的时间大大压缩到接近实时。”这意味着对手可以在许多下游系统部署修复程序之前对已发布的补丁进行逆向工程并构建有效的漏洞利用程序。
根据 Opet 的说法，成功是“补丁部署，而不是补丁发布。”
OpenAI 在 Akrites 召开前三天启动了自己的并行项目 Patch the Planet，这是使用 GPT-5.5-Cyber 和 Trail of Bits 工程师在 19 个开源项目中进行的第一次冲刺，合并了数十个补丁。 OpenAI 网络主管 Clint Gibler 称确保开源是公司的“长期承诺”，并表示 Akrites 有助于“加强整个行业的协调”。
尽管相似，但这两项工作的范围有所不同：Patch the Planet 侧重于人工智能辅助发现和补丁交付，并由专家人工审核； Akrites 构建了协调层，将经过验证的发现传递到整个行业的上游。
Linux 基金会定向基金 Alpha-Omega 将为 Akrites 提供种子资金。自 2022 年以来，该基金已向开源安全项目发放了 70 多项赠款，总额超过 2000 万美元。其他组织可以通过贡献工程资源或在 akrites.org 上提供资金来加入。