작동 방식: 회원사들이 최첨단 AI 모델로 발견한 취여점을 단일 파이프라인에 모아 통합·분류하고 패치로 연결한다 . 패치는 공개 전에 비공개(embargo) 상태로 진행되며, 모든 회원사가 동시에 수정본을 배포한다 .
초기 성과: 출범 며칠 만에 약 500개 오픈소스 프로젝트에 걸쳐 2,000개의 패치를 배포했으며, 20,000건 이상의 취약점을 처리했다 .
목표: Chainguard CEO 댄 로렌스(Dan Lorenc)는 오픈소스 버그를 찾고 수정하는 과정을 '가능한 한 쉽게 소비할 수 있도록' 만들어, AI로 취약점을 찾는 공격자들보다 앞서겠다고 밝혔다 .
2026년 6월 25일 발표된 Akrites는 Linux Foundation이 주도하며 AWS, Google, Microsoft, OpenAI, NVIDIA, IBM, Red Hat, Cisco, JPMorganChase, Anthropic, Chainguard 등 20개 창립 회원사가 참여했다 .
공유 SIRT: Akrites는 단일 공유 보안 인시던트 대응팀(SIRT)을 설립해 주요 오픈소스 프로젝트의 취약점 발견, 수정, 공개를 총괄한다 . 수십 개 기관이 각자 중복 신고를 해 메인테이너를 압도하는 대신, 모든 발견 사항이 SIRT로 집결되어 중복 제거, 검증, 조정된 패치 개발이 이뤄진다 .
표준화된 CVD 프로세스: 하나의 통일된 조정 취약점 공개(CVD) 파이프라인을 제공해 패치가 혼란스럽지 않고 통제된 방식으로 개발·배포되도록 한다 .
AI 속도 집중: Akrites는 최첨단 AI 모델이 몇 분 만에 소프트웨어 취약점을 찾아낼 수 있기 때문에, 대응 인프라도 동일한 속도로 작동해야 한다는 인식에서 만들어졌다 . 또한 널리 사용되지만 유지보수가 중단된 패키지를 위한 '최후의 메인테이너' 역할도 수행한다 .
범위: 전 세계적으로 사용되는 중요 오픈소스 소프트웨어를 대상으로, AI 기반 공격이 취약점을 무기화하기 전에 '찾고, 수정하고, 책임감 있게 공개'하는 것을 사명으로 한다 .
Project Lightwell은 2026년 5월 말 IBM과 Red Hat이 5조 원(미화 50억 달러) 규모, 2만 명 엔지니어 참여 합작 이니셔티브로 발표했다 . 6월 24일 Palo Alto Networks가, 6월 26일 Deloitte가 협력에 합류했다 .
엔터프라이즈 클리어링하우스 모델: Lightwell은 기업 소프트웨어 공급망의 오픈소스 보안을 위한 AI 기반 클리어링하우스 역할을 한다. 취약점을 식별하고 검증된 패치를 대규모로 배포한다 .
Deloitte의 역할: Deloitte는 규제 산업 소프트웨어 공급망(금융, 헬스케어, 핵심 인프라) 전반에 자동 취약점 패치를 확장하기 위해 협력한다. 이들 분야는 수동 패치 작업이 뒤처지기 쉽다 .
Palo Alto Networks 통합: 확장된 협력을 통해 Palo Alto Networks의 가상 패치(Virtual Patching) 기능이 Lightwell과 통합되어, 네트워크 수준의 신속한 보호와 오픈소스·상용 애플리케이션·운영 기술(OT) 전반의 소프트웨어 수정을 결합한다 .
대상 범위: 기업이 사용하는 62,000개 이상의 오픈소스 패키지를 목표로 한다 .
Athena와 Akrites는 상호 보완적이다. Chainguard는 Athena와 Akrites 모두의 창립 멤버다 . Athena가 AI 기반 패치 생산의 운영 파이프라인에 초점을 맞춘다면, Akrites는 중립적인 업계 거버넌스와 공개 프레임워크를 제공한다. 한 보안 분석(SecurityWeek)은 'Linux Foundation의 새 발표가 Athena를 언급하지는 않지만, Akrites는 같은 길을 걷고 있다'며, OSS 취약점을 보고·검증·처리하는 도구와 채널을 제공한다고 평가했다 .
Lightwell은 상용·엔터프라이즈 중심이다. 연합 모델과 달리, Project Lightwell은 대기업에 AI 기반 취약점 관리를 판매하는 상용 구독 서비스다 .
공통된 접착제: 세 이니셔티브 모두 AI가 취약점 발견과 악용 사이의 시간 창(window)을 붕괴시켰다는 점을 인식한다. 최첨단 AI 모델은 이제 단 1달러(약 1,300원)의 비용으로 주요 소프트웨어 프로젝트를 스캔하고 몇 분 안에 취약점을 찾아낼 수 있다 . 전체 발견-패치-공개 사이클은 주 단위에서 시간·분 단위로 압축되어야 한다 .
규제 산업을 위한 Deloitte의 Lightwell 참여는 중요하다. 이 협력은 수동 패치 프로세스가 느리고 규정 준수 부담이 큰 금융·헬스케어·핵심 인프라 분야에 자동 패치를 도입해, 중요한 보안 격차를 줄일 것으로 기대된다 .