Linux Foundation、AI時代のOSSセキュリティ防衛組織「Akrites」発足

The Linux Foundationは2026年6月25日、社会的に重要なオープンソースソフトウェア（OSS）の脆弱性を修正し、責任ある方法で開示を行うための業界横断の共同イニシアチブ「Akrites（アクリテス）」を発表しました。この取り組みには、本来競合関係にあるAWS、Google、Microsoftなどのメガクラウド企業に加え、OpenAI、Anthropic、NVIDIAなどの主要AIプレイヤーや、金融機関、セキュリティベンダーが多数参加しています。

1. AIによる「脆弱性発見の超高速化」への危機感

AIモデルの進化により、大規模なOSSソースコードを短時間でスキャンして脆弱性を自動検出することが可能になりました。これにより防御側の発見力が高まる一方で、攻撃者も同様の手法を使用できるため、発見された脆弱性を「いかに迅速に検証・修正して各システムへ適用するか」という対応体制が限界を迎えています。個別パッチの重複適用やメンテナーへの重複報告などの混乱を防ぐため、Akritesは脆弱性対応窓口（SIRT）を一元化し、協調的な脆弱性の開示（CVD）に基づいた標準プロセスを運用します。

2. 「最後のメンテナー」機能とパッチ適用の重視

Akritesは、修正コードを個々の企業製品に囲い込まずに上流のOSSプロジェクトへ還元することを重視します。また、長年メンテナンスが放置されている重要OSSパッケージに対して「最後のメンテナー」として機能し、善意のボランティアだけに頼らない防衛体制を築きます。さらに、脆弱性管理のゴールを単なる「パッチ公開」ではなく、金融・医療・通信などの重要インフラの実際のシステムへの「パッチ適用」の速さに置き、ソフトウェア部品表（SBOM）の整備やEPSS・SSVCなどの指標を用いたパッチ適用の優先順位付けを推進します。

AI時代において、OSSは「無料で使える便利な部品」から「社会全体で守るべき共有資産」へと位置付けが変化しています。Akritesの発足は、セキュリティ脅威が特定企業やベンダーの壁を超えた共通のリスクであることを示しています。企業側にも、自社システムに組み込まれたOSS依存関係を可視化し、公開されたセキュリティパッチを迅速かつ組織的に本番環境へデプロイできる体制の構築が急務となっています。

引用元：TechTargetジャパン