Linux基金会牵头“Akrites”计划:为开源软件打造AI…

随着人工智能被广泛用于自动化挖掘与利用软件漏洞，全球开源生态正面临一轮新的安全挑战。

“Akrites”项目：由Linux基金会牵头的安全联合行动

近期，Linux基金会联合多家安全机构、开源社区与企业推出名为“Akrites”的全新项目，目标是在AI快速介入攻防对抗的大背景下，系统性提升开源软件的安全韧性，尤其是供应链层面的风险防控能力。

据公开信息，“Akrites”项目将重点围绕以下几类问题展开：

• 如何应对攻击者使用大模型等AI工具“批量化”挖掘开源项目中的潜在漏洞。
• 如何在数量庞大、迭代快速的开源组件中，及时识别并封堵可被自动化利用的缺陷。
• 如何为开发者提供更易用的安全工具链，让安全能力嵌入日常开发流程，而不是事后补救。
• 如何建立跨社区的协作机制，在发现高危风险后实现快速共享与联动处置。

项目名称“Akrites”源自历史上边境防御力量的概念，寓意要在软件供应链的“边界”建立一道可持续进化的安全防线。

核心方向：围绕AI攻防的供应链安全体系建设

“Akrites”并非单一工具，而是一个围绕开源生态构建安全能力的综合项目，重点包括：

• AI辅助的漏洞检测与分析框架
  利用机器学习和大模型对海量开源仓库进行静态与动态分析，帮助维护者更早发现高危问题，同时降低人工审计成本。
• 面向供应链的风险画像
  围绕依赖关系、组件版本、维护活跃度等维度，为开源项目建立可视化风险画像，便于企业在选型和升级时进行安全评估。
• 安全基线与最佳实践
  梳理适用于不同语言、框架和场景的安全开发规范，将安全左移，融入代码评审、CI/CD流水线与发布流程。
• 漏洞响应与协作平台
  推动建立跨社区的漏洞共享与响应机制，减少信息孤岛，缩短漏洞从“发现到修复”的时间窗口。
• 教育与培训资源
  为开发者、安全工程师和运维团队提供开放课程与指南，提升使用和维护开源软件时的安全意识与实战能力。

技术亮点：利用AI对抗AI，提升自动化防御能力

在技术路径上，“Akrites”强调“以AI对抗AI”，在不增加开发者负担的前提下，将安全能力尽可能自动化、内嵌化。

• 智能代码审计
  通过模型对常见漏洞模式进行特征归纳，将传统“规则+人工”的审计方式，升级为“规则+统计学习+大模型推理”的组合，实现对复杂业务逻辑缺陷的更精准识别。
• 持续监测与行为分析
  对开源仓库中的异常提交、可疑依赖变更等行为进行监测，辅助识别供应链投毒等新型攻击手法。
• 多语言、多生态支持
  考虑到开源软件高度多样化，“Akrites”将支持包括C/C++、Java、Python、JavaScript等主流语言，并逐步覆盖更多技术栈。
• 可扩展的插件与接口
  通过开放API和插件机制，方便企业将“Akrites”的能力集成到现有的安全平台或开发工具中，与内部流程深度融合。

对开发者与企业的影响：从“被动补洞”走向“主动加固”

AI大幅降低了攻击者挖掘和利用漏洞的门槛，使得开源软件的安全问题更具“放大效应”。在这种背景下，“Akrites”有望在以下方面带来现实价值：

• 开发者：获得更易用的安全工具
  在编码阶段即可获得安全提示和修复建议，将不少隐患消灭在提交之前，减少后期返工。
• 开源社区：提升项目可信度
  通过更规范的安全流程与可量化的风险指标，帮助开源项目在企业选型中获得更高信任度，吸引更多贡献者与用户。
• 企业与机构：加强供应链安全治理
  在引入或升级开源组件时，能够基于“Akrites”提供的风险画像和检测结果做出更稳健的决策，降低因第三方组件导致的合规与运营风险。
• 安全行业：形成更高效的协作网络
  统一的项目框架有助于各类安全工具和数据库形成联动，从而提升整个生态对新型攻击手法的响应速度。

中国视角：开源与安全并重的必然选择

在我国大力推动自主可控与开源技术应用的背景下，如何保障开源软件供应链的安全性，已成为产业数字化过程中的关键议题。像“Akrites”这样的国际合作项目，有望在方法论、工具体系和协作机制上提供参考。

对于国内开发者和企业而言，积极关注并参与此类开放安全项目，一方面有助于掌握AI攻防演进趋势，另一方面也为构建更可靠的基础软件打下技术和经验基础。

可以预见，随着AI在软件研发和安全攻防中的作用持续增强，围绕开源生态的系统性安全工程将成为长期主题，而“Akrites”只是这一趋势中的重要一步。