Linux Foundation が立ち上げた Akrites：脆弱性の開示／修復プラットフォームが 2026年9月から運用開始

Exclusive: Linux Foundation’s Akrites to Go Live in September

2026/08/20 InfoSecurity — AI を悪用したサイバー脅威から、重要なオープンソース・ソフトウェアを防御するために設立された大規模な業界連合により、2026年9月から新たな脆弱性の開示／修復プラットフォームが運用される。Akrites と呼ばれる取り組みは、Linux Foundation／Open Source Security Foundation (OpenSSF)／20 組織以上の創設メンバーにより、2026年6月末に立ち上げられた。

これらのメンバーには、フロンティア AI ラボの Anthropic／OpenAI、Amazon Web Services／Cisco／Google／Microsoft／GitHub／IBM／Red Hat／NVIDIA などのクラウドおよびテクノロジーの大手と、Chainguard／Endor Labs／Zscaler などのサイバーセキュリティ企業、Citi／JPMorganChase／Ericsson／Vodafone などの大手エンタープライズが含まれる。

連合の各メンバーに求められるのは、1人〜10人のエンジニアをプロジェクトへ提供し、Associate／General／Premier という 3 段階のメンバーシップ・ティアのうち、選択したティアに応じた会費を支払うことである。それぞれのティアには、異なるレベルの特典が設定されている。

Linux Foundation は、この取り組みの開始時に、2 つの主要なミッションを発表した：

• オープンソース・パッケージおよびライブラリの脆弱性を緩和／修復するための、共有 Security Incident Response Team (SIRT) の設立
• 機密性優先の原則と業界標準ツールに基づく、標準化された Coordinated Vulnerability Disclosure (CVD) プロセスの開発

OpenSSF の CTO 兼 Chief Security Architect であり、6月に Akrites の CTO に任命された Christopher ‘CRob’ Robinson に、Infosecurity は話を聞いた。

Robinson は、「Akrites の唯一のミッションとして挙げられるのは、AI を活用した脆弱性レポートをアップストリームのオープンソース・メンテナーに提供し、その修正がエコシステム全体へ提供されるようにすることだ」と説明している。

Robinson によると、脆弱性マネージメントおよび SIRT プラットフォームを含む、この取り組みにおけるツールを担当するチームは、すでに “first draft of the tool chain” を作成したという。

また、この取り組みの主要プラットフォームには、Carnegie Mellon University の Vulnerability Information and Coordination Environment (VINCE) が使用されることが明らかにされた。VINCE は、同大学の Software Engineering Institute (SEI) に属する Computer Emergency and Response Team Coordination Center (CERT/CC) が、2020年に開発した脆弱性マネージメント・プラットフォームである。

Akrites の CTO は、大規模言語モデル (LLM) を活用し、重複排除／パッチ作成などを実行するための、大量の追加機能を備えていると付け加えている。また、プロジェクト開始から 2 カ月で、すでに数千件の脆弱性レポートを受け取っており、その約 30% が重複していると明らかにしている。

Robinson は、「Akrites メンバーから専門家を招き、ペネトレーション・テストとセキュリティ監査を実施している。その後に、実データと合成データを組み合わせてシステムへ入力できるようツールを拡張し、設計どおりに機能することを確認する」と説明している。

完成したプラットフォームは、準備が整い次第オープンソース化され、誰でも独自の目的で利用できるようになる。

さらに Robinson によると、Akrites が運営するプラットフォームは 9月中に稼働し、自動化された脆弱性レポートの受付を開始する予定である。

Robinson は、「私のキャリアを通じて、Akrites のようなものを実現しようとしてきた。現在は、ツール／意志／技術専門家へのアクセスが揃っていると感じている。そのため、世界のオープンソース・エコシステムへ非常に価値の高いサービスを提供できる可能性について、きわめて楽観視している」と述べている。

急増する AI を活用した脆弱性レポートに対処する、オープンソース・プロジェクトとして機能する Akrites などの取り組みについては、Infosecurity に注目してほしい。

Google／AWS／Microsoft などが連携する、共用 SIRT プラットフォーム Akrites の活用動向を解説する記事です。このプラットフォームは、LLM による重複排除やパッチ作成支援を備えた VINCE の導入により、AI 主導で急増する脆弱性報告への処理遅延／検証負荷の増大といった課題の解決を目指すものです。成果として報告処理の自動化／エコシステム全体での修復迅速化／開発者負担の軽減が期待されます。Akrites による集約窓口の利用／標準化された CVD プロセスの適用／自動生成パッチの検証などが推奨されています。