在現代軟體開發中，開源軟體（Open Source Software）早已成為全球數位基礎設施的基石，無論是金融系統、醫療設備還是雲端運算，底層幾乎都依賴開源專案。然而，生成式 AI 的崛起徹底改變了網路安全攻防的對稱性。過去，安全研究員或駭客需要花費數週時間分析程式碼以尋找漏洞，但現在 AI 模型可以在幾分鐘內完成漏洞掃描，甚至在補丁公開的瞬間就自動生成攻擊代碼。
面對這種 AI 驅動的威脅，Linux 基金會推出了名為 Akrites 的產業倡議。這不是一個單純的掃描工具，而是一套旨在提升開源生態系反應速度的協作框架。
AI 時代下的安全危機：時間窗的縮減
對於初入行的工程師來說，理解漏洞管理（Vulnerability Management）的關鍵在於時間窗。傳統的漏洞處理流程通常是：發現漏洞、通知維護者、開發補丁、發布更新、使用者安裝。這個過程在人類操作時代尚可接受，但在 AI 時代，漏洞從被發現到被利用（Exploit）的時間被極度壓縮。
當 AI 可以自動化地進行漏洞研究（Vulnerability Research）與代碼分析時，防禦方如果仍維持分散、低效率的通報模式，將完全無法跟上攻擊者的速度。這就是為什麼單靠個別公司的安全團隊或志願維護者已不足以保護關鍵基礎設施。
Akrites 的核心解決方案：從單打獨鬥到協同作戰
Akrites 的目標是建立一個運作層（Operational Layer），讓大型科技公司、雲端供應商與安全研究機構能共同採取行動。其核心機制包含兩個關鍵概念：
第一是共享的安全事件響應團隊（Shared Security Incident Response Team, SIRT）。SIRT 是一個專門處理安全事件的專業團隊。Akrites 透過建立跨組織的 SIRT，讓參與者能共同驗證漏洞，而不是每家公司發現同樣的漏洞就重複向維護者提交相同的報告，這能大幅減輕開源維護者的壓力。
第二是標準化的協調漏洞披露（Coordinated Vulnerability Disclosure, CVD）。CVD 是一種安全實踐，要求在漏洞補丁正式發布並讓使用者有時間更新之前，對漏洞細節保持機密。Akrites 強化了這一點，確保在 AI 駭客能利用公開資訊生成攻擊代碼前，補丁已經同步部署到關鍵基礎設施中。
Akrites 與既有安全計畫的區別
許多工程師可能聽過 OpenSSF（開源安全基金會）或 Alpha-Omega 計畫。簡單來說，OpenSSF 側重於制定安全標準、最佳實踐與開發工具（例如如何寫出更安全的代碼）；而 Akrites 則專注於漏洞發現後的快速反應與修復協調。
如果把 OpenSSF 比作建立堅固的城牆與制定守城守則，那麼 Akrites 就像是一個快速反應部隊，專門在城牆被突破或發現裂縫時，迅速集結資源將其封堵。
實務影響與未來趨勢
這場倡議反映了網路安全哲學的轉向。過去我們認為只要通知維護者即可，但現在的共識是：協調修復、機密協作與快速部署補丁同等重要。
對於開發者而言，這意味著未來關鍵開源專案的安全性將不再僅僅依賴於少數志願者的熱情，而是由一個由資源雄厚的企業組成的協作體系來支撐。當 AI 降低了攻擊的門檻，防禦方唯一的出路就是以同樣的規模化（Scale）與速度進行協作。
來源：infoq.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。