Linux基金會夥同科技巨頭推出 Akrites：對抗 AI 駭客的開源防線

在 AI 時代，開放原始碼的資安防線正受到前所未有的挑戰。過往人類資安研究者需要數週甚至數月才能找出關鍵漏洞，但現在前沿模型只要幾分鐘就能掃描一個大型開源專案，並回報多個已確認的弱點。這種「瞬間發現」的能力，讓原本以人類審查為基礎的漏洞修補流程徹底失效。

舉例來說，Claude Opus 4.8 在不到一天之內，就找出了 Zcash Orchard 隱私池中潛伏了四年的關鍵缺陷。這樣的案例顯示，若是被惡意 AI 先一步發現，後果將不堪設想——因為攻擊者可以在修補方案公佈之前，就搶先製作出可以利用的 exploit。

這就是 Akrites 誕生的背景。Linux 基金會在 2025 年初與 19 家創始成員——包括 Amazon、Anthropic、Citi、Google、JPMorganChase、Microsoft、NVIDIA、OpenAI 等重量級企業——共同發起這項計畫，旨在打造一個統一的資安事件回應團隊，讓開源維護者不再被來自四面八方的漏洞報告淹沒。

傳統的協調披露模式在 AI 速度前已經失效。過去，多個組織會各自掃描相同的函式庫，經歷冗長的行政流程才會著手修補，這段期間被稱為「把維護者埋在噪音裡」。Akrites 要做的，就是把這些繁瑣的步驟全部簡化——提供單一、可信賴的聯絡視窗，讓維護者只需要面對一個團隊，就能獲得驗證後的漏洞資訊、財務支援以及全職的修補人力。

更關鍵的是，當一個關鍵套件已經沒有活躍維護者時，Akrites 承諾擔任「最後的維護者」，直接介入修補工作。這種「最後防線」的概念，正是對 open‑source 生態系統的根本保障。

在計畫的公開信中，Rust 基金會執行長 Rebecca Rumbul 表示：「開放原始碼維護者的善意長期以來被視為理所當然，這次的合作終於讓他們能夠在協調、資源與專業上獲得真正的支援。」

不過，成功的衡量標準並不是「發布了多少修補」，而是「修補是否真正部署到下游系統」。JPMorganChase 的資安長 Pat Opet 指出：「AI 已把漏洞發現到利用的時間壓縮到接近即時，這意味著攻擊者可以在修補公開後的短時間內逆向工程並製作出可執行的 exploit。」因此，Akrites 的目標是讓修補在公開前就完成部署，確保風險在第一線就被消滅。

在 Akrites 之外，OpenAI 也同步推出了「Patch the Planet」計畫，利用 GPT‑5.5‑Cyber 與 Trail of Bits 的工程師，在 19 個開源專案中進行快速漏洞發現與修補。雖然兩者目標類似，但 Patch the Planet 側重於 AI 輔助的發現與修補交付，而 Akrites 更像是整個產業的「協調層」，把驗證後的漏洞統一送往上游的維護者。

最後，Alpha‑Omega（Linux 基金會旗下專門資助開放原始碼資安的基金）將提供種子資金，目前已經發放超過 70 筆、總額超過 2000 萬美元的資助。未來，任何組織都可以透過捐贈工程資源或資金加入 Akrites，共同守護開源世界的安全。

• ⭐ AI 現在能在幾分鐘內掃描開源專案並找出多個漏洞，讓人類來不及修補。
• ⭐ 19 家科技與金融巨頭聯合成立 Akrites，提供統一、可信賴的漏洞回報與修補渠道。
• ⭐ 單一安全事件回應團隊，避免維護者被大量報告轟炸，降低溝通成本。
• ⭐ 對無主套件擔任「最後維護者」，提供財務與全職人力支援。
• ⭐ 成功指標是「修補部署」而非「修補發布」，確保在攻擊者逆向前完成上線。

在這場 AI 與開放原始碼的賽跑裡，Akrites 的出現無疑是一記強心針。它不只是一個技術方案，更是一種生態系統的責任共享。對於所有仰賴開源元件的開發者與企業來說，這是一個值得關注的訊號：未來的安全，將不再是單打獨鬥，而是整個產業的協作成果。