La Linux Foundation, insieme a un’ampia lista di aziende tecnologiche e finanziarie, ha lanciato l’iniziativa Akrites mirata ad aumentare la protezione delle vulnerabilità nel software open source. L’alleanza mira a coordinare l’identificazione ed elaborazione riservata di tali problemi tra responsabili e stakeholder, riconoscendo il crescente rischio rappresentato dalla capacità delle moderne tecnologie di intelligenza artificiale di individuare falle in tempi estremamente rapidi.
Gruppe di fondazione e collaborazione strategica
I fondatori dell’iniziativa includono nomi riconosciuti a livello globale come Amazon Web Services, Anthropic, Cisco, Google, IBM, Microsoft, GitHub, Nvidia, OpenAI, Red Hat, JPMorganChase, Citi e Vodafone. I membri sono impegnati a fornire risorse sia umane che economiche per supportare il progetto concreto di sicurezza open source.
La sfida offerta dall’intelligenza artificiale
La dichiarazione ufficiale della Linux Foundation sottolinea che l’intelligenza artificiale generativa sta modificando radicalmente la sicurezza nel software. Tradizionalmente, la ricerca di vulnerabilità gravi richiedeva competenze specifiche e un lungo periodo di analisi. Tuttavia, i modelli di AI potenti oggi in grado di analizzare progetti open source sono capaci di identificare potenziali debolezze in pochi minuti, riducendo enormemente il tempo fra individuazione e sfruttamento di una falla.
Pianificazione della risposta unificata
Akrites mira a rispondere a questa sfida mediante un processo standardizzato di sicurezza. Al posto di aziende diverse che identificano indipendentemente problemi analoghi o propongono patch divergenti, questa iniziativa mira ad una collaborazione coordinata. L’iniziativa include l’organizzazione di un Security Incident Response Team comune (SIRT) e un processo condiviso per divulgare le vulnerabilità in modo coordinato (Coordinated Vulnerability Disclosure, CVD). Quando una vulnerabilità viene confermata, essa viene risolta in collaborazione con i responsabili dei progetti upstream prima della loro divulgazione.
Cooperazione con i mantenitori
Un aspetto centrale del progetto è la collaborazione con i responsabili dei progetti open source interessati. Secondo le linee guida della Linux Foundation, le correzioni devono fluire sempre nei progetti originali, mantenendo il controllo dei mantainer sui loro progetti e scongiurando la sovraccarica di comunicazioni di sicurezza potenzialmente discordanti.
Akrites prevede inoltre il ruolo di "Maintainer of Last Resort" per pacchetti non più attivi. Nelle situazioni in cui gli sviluppatori originali non siano disponibili, l’iniziativa si impegnano a fornire correzioni per le versioni attuali, assicurando la chiusura di vulnerabilità critiche.
Standard di sicurezza esistenti
Il progetto si avvale di strumenti e standard già accettati nel settore della cybersecurity, come CVE (Common Vulnerabilities and Exposures), CVSS (Common Vulnerability Scoring System), e CWE (Common Weakness Enumerations). L’uso di questi strumenti garantirà l’adeguamento all’interno dei processi esistenti da parte di produttori di software, esperti di sicurezza e gestori di infrastrutture critiche.
Finanziamento e crescita del progetto
Il finanziamento iniziale per Akrites è stato fornito da Alpha-Omega, un fondo della Linux Foundation che sostiene progetti di sicurezza open source. Altri enti sono invitati a unirsi al programma, contribuendo con capacità di sviluppo o finanziamenti. Parallelamente al lancio, l’iniziativa ha pubblicato una lettera aperta rivolgendosi alla comunità di fornire risorse per proteggere ulteriormente l’ecosistema open source.