AI 赛跑：三大联盟竞相抢在黑客利用前修补开源漏洞

为全球经济提供动力的开源软件面临一个新问题：AI 能在几分钟内发现漏洞，而传统的修补和披露流程可能需要数周时间。这个时间差正在被三个在 2026 年 6 月数周内相继启动的主要行业联盟所弥补。

Chainguard 领导的 Athena 联盟、Linux 基金会发起的 Akrites 计划，以及 IBM 与 Red Hat 的 Project Lightwell（德勤和 Palo Alto Networks 加入），各自利用 AI 加速整个“发现-修补-披露”周期。它们共同代表了迄今为止针对 AI 驱动的开源软件网络攻击所做出的最雄心勃勃的协同回应。

Chainguard 的 Athena 联盟：AI 驱动的补丁生产

Athena 于 2026 年 6 月 15 日启动，是由 Chainguard 领导的联盟，成员包括摩根大通、思科、Cloudflare、纽约梅隆银行和普华永道等二十多家组织 。

工作原理： 成员将前沿 AI 模型发现的漏洞发现汇聚到一个单一管道中，该管道负责整合、分类并驱动补丁的生成 。该联盟在漏洞公开披露之前进行修补——成员们在保密协议下制作补丁，然后同时发布修复方案 。

早期成果： 启动后数天内，Athena 已在 500 个开源项目中发布了约 2,000 个补丁，处理了超过 20,000 个发现 。

目标： 根据 Chainguard CEO 兼联合创始人 Dan Lorenc 的说法，目标是使发现和修复开源漏洞“尽可能易于使用”，以领先于同样利用 AI 寻找缺陷的攻击者 。

Linux 基金会的 Akrites 计划：AI 速度下的中立治理

Akrites 于 2026 年 6 月 25 日宣布，是由 Linux 基金会主导的计划，得到了 20 个创始成员的支持，包括 AWS、谷歌、微软、OpenAI、NVIDIA、IBM、Red Hat、思科、摩根大通、Anthropic 以及 Chainguard 本身 。

共享 SIRT： Akrites 建立了一个单一的共享安全事件响应团队，负责关键开源项目中漏洞的发现、修补和披露 。不再有数十个组织独立提交重复报告而导致维护者不堪重负，所有发现都通过 SIRT 进行去重、验证和协调修补开发 。

标准化 CVD 流程： 它提供了一个统一的协同漏洞披露管道，使补丁能够以可控、负责任的方式而非混乱地开发和发布 。

聚焦 AI 速度： Akrites 的创立明确是因为前沿 AI 模型可以在几分钟内发现软件漏洞，因此响应基础设施必须达到同样的速度 。该计划充当被遗弃但广泛使用的软件包的“最后的维护者” 。

范围： 针对全球使用中的关键开源软件，其使命是在 AI 驱动的漏洞利用武器化之前“发现、修复并负责任地披露”漏洞 。

IBM 与 Red Hat 的 Project Lightwell：企业级清算中心

Project Lightwell 于 2026 年 5 月下旬宣布，是 IBM 与 Red Hat 的一项价值 50 亿美元、投入 20,000 名工程师的联合计划 。6 月 24 日，Palo Alto Networks 加入；6 月 26 日，德勤宣布了合作 。

企业清算中心模式： Lightwell 作为企业软件供应链中开源软件的一个 AI 驱动的安全清算中心——它能识别漏洞并大规模部署已验证的补丁 。

德勤的角色： 德勤合作在受监管的软件供应链（金融、医疗、关键基础设施）中扩展自动化漏洞修补，这些领域的传统手动修补流程滞后 。

Palo Alto Networks 集成： 扩展后的合作将 Palo Alto Networks 的虚拟修补能力与 Lightwell 相结合，将快速的网络层保护与跨开源软件、商业应用和操作技术的软件修复相结合 。

覆盖范围： 针对企业使用的超过 62,000 个开源软件包 。

三者之间的关系、重叠与差异

Athena 与 Akrites 互为补充。 Chainguard 是 Athena 和 Akrites 的创始成员 。Athena 专注于 AI 驱动补丁生产的运营管道，而 Akrites 则提供中立的跨行业治理和披露框架。SecurityWeek 的一篇分析指出，“虽然 Linux 基金会的新公告没有提及 Athena，但 Akrites 走的是同一条路”——提供报告、验证和解决 OSS 漏洞的工具和渠道 。

Lightwell 是商业化的企业级解决方案。 与联盟模式不同，Project Lightwell 是一种商业订阅服务，向大型企业销售 AI 驱动的漏洞管理 。

共同点： 三者都认识到 AI 已经缩短了漏洞发现与利用之间的时间窗口。前沿 AI 模型现在可以扫描主要软件项目，并在几分钟内以低至 1 美元的成本发现漏洞 。整个“发现-修补-披露”周期必须从数周压缩到数小时或数分钟 。

德勤参与 Lightwell 对受监管行业意义重大。 该合作旨在将自动修补引入那些手工修补流程缓慢且合规负担沉重的行业，可能弥补金融服务、医疗和关键基础设施领域的关键差距 。