Athena, la coalizione che vuole riparare l’open source prima degli attacchi IA

La quantità di segnalazioni ha finito per mettere sotto pressione i tradizionali canali di divulgazione. Delle circa 1.596 vulnerabilità comunicate formalmente da Anthropic ai manutentori entro maggio 2026, soltanto 97 risultavano corrette: un tasso di risoluzione di circa il 6% .

La Cloud Security Alliance ha definito questo squilibrio una crisi della “velocità di divulgazione” . L’IA può produrre nuove segnalazioni senza sosta, mentre i manutentori devono ancora riprodurre i problemi, capire quali versioni siano interessate e preparare una soluzione. In molti casi, lo fanno con risorse limitate e senza essere retribuiti .

Come funziona Athena

Athena si basa su un modello di correzione coordinata prima della divulgazione pubblica. Invece di riversare immediatamente i risultati nei database pubblici — dove possono essere osservati anche dagli attaccanti — le organizzazioni aderenti collaborano in privato per analizzare, validare e correggere le falle .

La coalizione funziona come un punto di coordinamento difensivo: i membri condividono informazioni sulle vulnerabilità, mettono in comune competenze e risorse per la remediation e fanno arrivare le correzioni ai progetti open source interessati. Il fine è ridurre la finestra di esposizione tra la scoperta di una falla, la sua divulgazione e l’adozione della patch .

Chi partecipa

Alla coalizione prendono parte più di due dozzine di organizzazioni attive nei servizi finanziari, nell’infrastruttura cloud, nella cybersicurezza e nei servizi professionali . I membri fondatori annunciati sono :

• Chainguard, che guida la coalizione
• BNY
• Cisco
• Cloudflare
• Corridor
• DepthFirst
• Docker
• JPMorganChase
• Kyndryl
• LTIMindtree
• PwC

La presenza di banche, aziende di infrastrutture di rete, fornitori cloud e società di sicurezza mette in evidenza quanto i sistemi moderni dipendano dai componenti open source. Mostra anche perché un modello di difesa basato soltanto sul tempo e sulla disponibilità dei singoli manutentori rischia di non essere più sufficiente.

I risultati già raggiunti

Athena non ha presentato soltanto un progetto futuro. Al momento del lancio, la coalizione aveva già dichiarato di aver:

• gestito oltre 20.000 segnalazioni ;
• distribuito più di 2.000 patch ;
• lavorato su oltre 500 progetti open source .

I numeri indicano che l’iniziativa era operativa già prima dell’annuncio pubblico e aveva accumulato un’attività concreta di correzione, anziché limitarsi a proporre un nuovo canale di collaborazione.

Un cambio di approccio alla sicurezza open source

Athena si inserisce in una serie più ampia di iniziative per rendere più sicura la filiera del software di fronte a minacce amplificate dall’IA. In precedenza, l’amministratore delegato di Chainguard Dan Lorenc aveva annunciato un impegno da 50 milioni di dollari e il coinvolgimento di 100 ingegneri per costruire una nuova infrastruttura di fiducia per l’utilizzo dell’open source .

Chainguard ha inoltre aderito alla Coalition for Secure AI (CoSAI), un’iniziativa distinta i cui membri fondatori includono OpenAI, Google, Microsoft e Anthropic .

Il messaggio comune è chiaro: se l’intelligenza artificiale riesce a trovare vulnerabilità a velocità industriale, la sicurezza dell’open source non può più dipendere esclusivamente dal lavoro volontario e frammentato dei manutentori. Athena prova a trasformare la difesa coordinata da principio generale in un processo operativo: scoprire, verificare e correggere le falle prima che diventino un vantaggio per chi vuole sfruttarle.