Athena, Akrites e Project Lightwell: la corsa contro il tempo per mettere in sicurezza l'open source con l'IA

Come funziona: I membri mettono in comune le segnalazioni di vulnerabilità scoperte da modelli di IA all'avanguardia in un'unica pipeline che le consolida, le classifica e guida la creazione delle patch . La coalizione corregge le vulnerabilità prima della divulgazione pubblica: i membri rilasciano le patch sotto embargo, quindi distribuiscono le correzioni simultaneamente .

Primi risultati: A pochi giorni dal lancio, Athena aveva già distribuito circa 2.000 patch in 500 progetti open-source, elaborando oltre 20.000 segnalazioni .

Obiettivo: Rendere la ricerca e la correzione dei bug open-source "il più semplice possibile" per stare al passo con gli attaccanti che utilizzano anch'essi l'IA per trovare falle, ha dichiarato Dan Lorenc, CEO e co-fondatore di Chainguard .

L'iniziativa Akrites della Linux Foundation: governance neutrale alla velocità dell'IA

Annunciata il 25 giugno 2026, Akrites è un'iniziativa guidata dalla Linux Foundation con il sostegno di 20 membri fondatori, tra cui AWS, Google, Microsoft, OpenAI, NVIDIA, IBM, Red Hat, Cisco, JPMorganChase, Anthropic e la stessa Chainguard .

SIRT condiviso: Akrites istituisce un unico team di risposta agli incidenti di sicurezza (SIRT) che gestisce la scoperta, la correzione e la divulgazione delle vulnerabilità nei progetti open-source critici . Invece di dozzine di organizzazioni che presentano segnalazioni duplicate in modo indipendente, sovraccaricando i manutentori, tutte le segnalazioni vengono convogliate attraverso il SIRT per la deduplicazione, la validazione e lo sviluppo coordinato delle patch .

Processo CVD standardizzato: Fornisce un'unica pipeline di divulgazione coordinata delle vulnerabilità (CVD), in modo che le patch vengano sviluppate e rilasciate in modo controllato e responsabile, anziché caotico .

Focus sulla velocità dell'IA: Akrites è stato creato esplicitamente perché i modelli di IA avanzati possono individuare le vulnerabilità del software in pochi minuti, quindi l'infrastruttura di risposta deve operare alla stessa velocità . L'iniziativa funge da "manutentore di ultima istanza" per i pacchetti abbandonati ma ampiamente utilizzati .

Ambito: Si rivolge a software open-source critici utilizzati a livello globale, con la missione di "trovare, correggere e divulgare responsabilmente" le falle prima che gli exploit basati sull'IA possano armarle .

Project Lightwell di IBM e Red Hat: un centro di smistamento aziendale

Project Lightwell è stato annunciato alla fine di maggio 2026 come iniziativa congiunta da 5 miliardi di dollari di IBM e Red Hat, che coinvolge 20.000 ingegneri . Il 24 giugno si è unita Palo Alto Networks; il 26 giugno Deloitte ha annunciato la sua collaborazione .

Modello di centro di smistamento aziendale: Lightwell funge da centro di smistamento per la sicurezza basato sull'IA per il software open-source nelle catene di fornitura aziendali: identifica le vulnerabilità e distribuisce patch validate su larga scala .

Ruolo di Deloitte: Deloitte collabora per scalare la correzione automatizzata delle vulnerabilità nelle catene di fornitura software regolamentate (finanza, sanità, infrastrutture critiche) dove la correzione manuale è in ritardo .

Integrazione con Palo Alto Networks: La collaborazione estesa integra la funzionalità di "Virtual Patching" di Palo Alto Networks con Lightwell, combinando una rapida protezione a livello di rete con la correzione del software in ambito open-source, applicazioni commerciali e tecnologia operativa .

Copertura: Mira a oltre 62.000 pacchetti open-source utilizzati dalle imprese .

Come si relazionano, si sovrappongono e differiscono

Athena e Akrites sono complementari. Chainguard è un membro fondatore sia di Athena che di Akrites . Athena si concentra sulla pipeline operativa di produzione delle patch basata sull'IA, mentre Akrites fornisce la governance neutrale e il quadro di divulgazione intersettoriale. Un'analisi di SecurityWeek osserva che "sebbene il nuovo annuncio della Linux Foundation non menzioni Athena, Akrites percorre lo stesso percorso", offrendo gli strumenti e i canali per segnalare, validare e affrontare le vulnerabilità dell'OSS .

Lightwell è commerciale e incentrato sulle imprese. A differenza dei modelli di coalizione, Project Lightwell è un'offerta commerciale in abbonamento che vende la gestione delle vulnerabilità basata sull'IA alle grandi aziende .

Punto comune: Tutti e tre riconoscono che l'IA ha compresso la finestra temporale tra la scoperta della vulnerabilità e lo sfruttamento. I modelli di IA avanzati possono ora scansionare i principali progetti software e individuare le vulnerabilità in pochi minuti per un costo di appena 1 dollaro . L'intero ciclo di individuazione, correzione e divulgazione deve essere compresso da settimane a ore o minuti .

Il coinvolgimento di Deloitte in Lightwell è significativo per i settori regolamentati. La collaborazione mira a portare la correzione automatizzata nei settori in cui i processi di correzione manuale sono lenti e gravosi dal punto di vista normativo, colmando potenzialmente un divario critico nei servizi finanziari, sanitari e nelle infrastrutture critiche .