AIが脆弱性発見と悪用のスピードを劇的に短縮

Akrites立ち上げの背景には、生成AIの進歩が攻撃側と防御側のバランスを根本的に変えてしまったという危機感があります。AIモデルは今や広く使われているソフトウェアの脆弱性を数週間ではなく数分で発見できるようになっており、発見から悪用までの時間差は劇的に縮まっています。場合によっては、セキュリティパッチが公開された直後にエクスプロイトコードが生成されるケースもあり、メンテナンスチームやインフラ運用者が対応できる猶予はますます少なくなっているといいます（出典）。

AIモデルは今や、広く使われているソフトウェアの脆弱性を数週間ではなく数分で発見できるようになっている。

オープンソースソフトウェアは銀行・医療・通信・交通・エネルギー網・政府機関、そしてAIインフラ自体に至るまで、現代経済のほぼすべての分野を支えています。従来のボランティアメンテナーによる分散型の開示慣行だけでは、「AI速度」での防御に対応しきれなくなっているというのがAkritesの問題意識です。

20以上の団体が参加、共同インシデント対応チームを設置

創設メンバーにはAmazon Web Services・Anthropic・Google・NVIDIA・IBM・Red Hat・Cisco・Chainguard・Sonatypeをはじめ、複数の金融機関が名を連ねています。これらの組織は、共有のセキュリティインシデント対応チーム（SIRT）と標準化された協調的脆弱性開示（CVD）プロセスを通じて、基幹的なオープンソースプロジェクト全体の脆弱性修正を連携して進めます。

Akritesは新しいセキュリティスキャンツールを作るのではなく、脆弱性が発見された「後」の対応プロセスを改善することに主眼を置いています。参加組織が脆弱性を非公開で検証し、上流のメンテナーとパッチ対応を調整し、詳細が公開される前に責任ある開示のタイミングを同期させる——という共同インシデント対応の枠組みを整備します。

OpenSSFとの役割分担——「基準づくり」と「対応の実行」

Akritesは既存の取り組みを置き換えるものではなく、Open Source Security Foundation（OpenSSF）やLinux FoundationのAlpha-Omegaプログラムといった、ソフトウェアサプライチェーンのセキュリティ強化に長年投資してきた枠組みを補完する位置づけです。

イニシアチブ 役割
OpenSSF セキュリティ基準・ベストプラクティス・ツールの策定
Akrites 公開前の脆弱性修正を調整する運用対応レイヤー

（出典）

重点は「脆弱性を見つけること」から「攻撃者が悪用する前に修正・展開すること」へと移っています。AI活用型攻撃の脅威は正直かなり切実な話で、個人開発者としても自分が依存しているOSSライブラリの脆弱性対応スピードがこれまで以上に重要になってくると感じます。