Linux Foundation lança projeto Akrites

A Linux Foundation anunciou o lançamento do Akrites, um novo projeto de segurança destinado a melhorar a resposta a vulnerabilidades no ecossistema de software de código aberto. A iniciativa estabelece uma equipa partilhada de resposta a incidentes de segurança (Security Incident Response Team – SIRT) para coordenar a identificação, validação, correção e divulgação responsável de falhas de segurança em projetos open source.

O objetivo passa por disponibilizar canais e ferramentas que permitam reportar vulnerabilidades de forma confidencial, desenvolver correções antes da divulgação pública e reduzir o número de notificações independentes dirigidas aos responsáveis pelos projetos.

O Akrites conta com o apoio de empresas como Anthropic, AWS, Chainguard, Cisco, Citi, Endor Labs, Ericsson, Google, IBM, JPMorganChase, Microsoft, GitHub, NVIDIA, OpenAI, RapidFort, Red Hat, Rust Foundation, Sonatype, Vodafone e Zscaler. O financiamento inicial é assegurado pelo programa Alpha-Omega, da Linux Foundation, enquanto outras organizações contribuem com recursos de engenharia e financiamento adicional.

A iniciativa surge poucas semanas depois de a Chainguard anunciar o projeto Athena, uma coligação destinada a coordenar a correção de vulnerabilidades em software open source antes da sua divulgação pública. Embora a Linux Foundation não faça referência direta ao Athena, ambas as iniciativas partilham objetivos semelhantes.

Segundo a Linux Foundation, a crescente utilização de inteligência artificial por cibercriminosos reduziu significativamente o intervalo entre a divulgação pública de uma vulnerabilidade e a disponibilização de ataques funcionais.

“Quando as correções são divulgadas publicamente, os atacantes conseguem utilizar inteligência artificial para analisar rapidamente as vulnerabilidades, desenvolver exploits e lançar ataques. O sucesso deste esforço será medido pela implementação das correções, e não pela sua publicação”, refere a organização.

Além de funcionar como parceiro de confiança para a divulgação coordenada de vulnerabilidades, o Akrites pretende colaborar com operadores de infraestruturas críticas para facilitar a aplicação de correções antes da exploração ativa das falhas.

O projeto foi concebido com forte enfoque na confidencialidade, procurando reduzir o risco de exploração prematura das vulnerabilidades e atuar como mantenedor de último recurso em projetos open source que deixaram de ter manutenção ativa, assegurando que continuam a ser disponibilizadas correções de segurança quando necessário.