AI 漏洞攻防戰：三大聯盟競相修補開源軟體安全破口，力拚在攻擊者出手前先行防堵

驅動全球經濟的開源軟體正面臨一個新問題：AI 可以在幾分鐘內找到漏洞，但傳統的修補與揭露流程卻可能需要數週時間。這個時間差，如今正由三個在 2026 年中相繼成立的產業聯盟來彌補。

Chainguard 主導的 Athena 聯盟、Linux 基金會的 Akrites 計畫，以及 IBM 與 Red Hat 的 Project Lightwell（後續加入 Deloitte 與 Palo Alto Networks），都利用 AI 來加速整個「發現-修補-揭露」的循環。這三者共同代表了目前針對 AI 驅動的開源軟體攻擊，最為雄心勃勃的協同應對方案。

Chainguard 的 Athena 聯盟：AI 驅動的修補程式生產線

Athena 聯盟於 2026 年 6 月 15 日啟動，由 Chainguard 領導，成員包括摩根大通、思科、Cloudflare、紐約梅隆銀行、PwC 等超過二十家組織 。

運作方式： 成員將由尖端 AI 模型發現的漏洞發現彙集到單一管道中，進行整合、分類並驅動修補程式的開發 。該聯盟在漏洞公開揭露前即進行修補——成員在保密協議下修補漏洞，然後同時發布修補程式 。

初期成果： 上線後短短幾天內，Athena 已在 500 個開源專案中發布了約 2,000 個修補程式，處理了超過 20,000 個發現 。

目標： Chainguard 執行長暨共同創辦人 Dan Lorenc 表示，目標是讓尋找和修復開源軟體漏洞的流程「盡可能易於使用」，以領先那些同樣使用 AI 來尋找漏洞的攻擊者 。

Linux 基金會的 Akrites 計畫：以 AI 速度運作的中立治理框架

Akrites 計畫於 2026 年 6 月 25 日宣布，由 Linux 基金會主導，獲得 20 個創始成員支持，包括 AWS、Google、Microsoft、OpenAI、NVIDIA、IBM、Red Hat、思科、摩根大通、Anthropic 以及 Chainguard 本身 。

共享 SIRT： Akrites 建立了一個單一的共享安全事件應變團隊（SIRT），負責處理關鍵開源軟體的漏洞發現、修補和揭露 。所有發現不再由數十個組織獨立提交重複報告以致淹沒維護者，而是統一透過 SIRT 進行去重、驗證和協調修補開發 。

標準化 CVD 流程： 它提供單一的協調漏洞揭露（CVD）流程，確保修補程式以可控且負責任的方式開發和發布，而非混亂無序 。

AI 速度焦點： Akrites 的成立，正是因為尖端 AI 模型可以在數分鐘內發現軟體漏洞，因此應對基礎設施必須以同樣的速度運作 。該計畫也作為那些已被遺棄但被廣泛使用的套件的「最終維護者」。

範圍： 目標是針對全球使用的關鍵開源軟體，使命是在 AI 驅動的漏洞武器化之前，「發現、修復並負責任地揭露」漏洞 。

IBM 與 Red Hat 的 Project Lightwell：企業級漏洞資訊交換中心

Project Lightwell 於 2026 年 5 月底宣布，是 IBM 與 Red Hat 共同投資 50 億美元、投入 2 萬名工程師的聯合計畫 。Palo Alto Networks 於 6 月 24 日加入；Deloitte 則在 6 月 26 日宣布合作 。

企業資訊交換中心模式： Lightwell 作為一個 AI 驅動的開源軟體安全資訊交換中心，為企業軟體供應鏈服務——它能識別漏洞並大規模部署經過驗證的修補程式 。

Deloitte 的角色： Deloitte 的合作旨在將自動化漏洞修補擴展到受監管的軟體供應鏈（金融、醫療保健、關鍵基礎設施），這些領域的手動修補流程往往過於緩慢 。

Palo Alto Networks 整合： 此次擴大合作將 Palo Alto Networks 的虛擬修補功能與 Lightwell 整合，將快速的網路層級保護與軟體修補相結合，涵蓋開源軟體、商業應用程式和營運科技 。

覆蓋範圍： 目標鎖定企業使用的超過 62,000 個開源套件 。

三者之間的關係、重疊與差異

Athena 與 Akrites 是互補的。 Chainguard 同時是 Athena 和 Akrites 的創始成員 。Athena 專注於 AI 驅動修補生產的營運流程，而 Akrites 則提供中立、跨產業的治理和揭露框架。SecurityWeek 的分析指出：「雖然 Linux 基金會的新公告並未提及 Athena，但 Akrites 走的是同一條路徑」——提供報告、驗證和處理開源軟體漏洞的工具與管道 。

Lightwell 是商業化且以企業為中心的。 不同於聯盟模式，Project Lightwell 是一個商業訂閱服務，向大型企業銷售 AI 驅動的漏洞管理方案 。

共同點： 三者都認識到，AI 已經壓縮了從漏洞發現到被利用之間的時間窗口。尖端 AI 模型現在可以掃描主要軟體專案，並在幾分鐘內找出漏洞，成本低至 1 美元 。整個「發現-修補-揭露」循環必須從數週壓縮到數小時或數分鐘 。

Deloitte 參與 Lightwell 對受監管產業意義重大。 此次合作旨在將自動化修補帶入手動修補流程緩慢且合規要求嚴格的領域，有可能彌補金融服務、醫療保健和關鍵基礎設施中的一個關鍵缺口 。