Aliança lança projeto Akrites para acelerar a correção de vulnerabilidades no Linux

O projeto Akrites, lançado oficialmente em 25 de junho de 2026 pela Linux Foundation com apoio de mais de 20 organizações, incluindo Google, Microsoft, Amazon Web Services, OpenAI, Red Hat, IBM, JPMorganChase e NVIDIA, é uma resposta estruturada à aceleração da exploração de vulnerabilidades impulsionada por IA. Diferente de iniciativas anteriores, o Akrites não se limita a financiar ou auditar: ele opera como um mecanismo ativo de correção upstream, com equipe compartilhada de resposta a incidentes (SIRT) e processo padronizado de divulgação coordenada (CVD), usando ferramentas consolidadas como CVE, CVSS, EPSS e VEX. A premissa central é clara: publicar um patch antes de corrigi-lo no código-fonte é perigoso, pois modelos de IA conseguem reverter engenharia de correções em minutos, o que torna o tempo entre divulgação e exploração efetivamente negativo.

Uma inovação operacional do Akrites é sua função como 'mantenedor de último recurso' para pacotes críticos sem suporte ativo, como bibliotecas antigas de criptografia ou drivers de kernel descontinuados. Isso evita que falhas em componentes amplamente distribuídos fiquem sem correção por falta de responsabilidade técnica. O projeto também se integra com esforços existentes da Linux Foundation, como Alpha-Omega e OpenSSF, mas vai além ao criar um ponto único de entrada para relatórios de vulnerabilidades, validação técnica e coordenação de entrega, substituindo a fragmentação anterior, onde mantenedores recebiam dezenas de relatórios conflitantes de diferentes fontes.

O Akrites importa porque muda a métrica de sucesso na segurança de código aberto: não é mais quantas vulnerabilidades são descobertas ou divulgadas, mas quantas são corrigidas *antes* de serem exploráveis. Com IA capaz de escanear milhões de linhas de código e extrair padrões de falhas em segundos, o modelo tradicional de divulgação coordenada está obsoleto, e o próprio Jim Zemlin, CEO da Linux Foundation, confirmou que o tempo médio entre divulgação de um patch e seu aproveitamento por atacantes caiu para 'menos de sete dias negativos'. Isso significa que, em muitos casos, a exploração já está em campo antes mesmo da correção chegar aos repositórios oficiais. O Akrites trata isso como uma falha sistêmica de coordenação, não de tecnologia, e ataca a raiz: a ausência de um processo unificado, confidencial e com capacidade de execução direta no upstream.

Para desenvolvedores e equipes de segurança, o Akrites reduz a sobrecarga de triagem de relatórios duplicados e patches conflitantes, algo relatado como rotina por mantenedores de projetos como OpenSSL e curl. Agora, relatórios de vulnerabilidades em pacotes críticos (ex.: glibc, systemd, libarchive) serão encaminhados via canal único, validados por uma SIRT compartilhada e integrados diretamente nas pipelines de CI/CD dos projetos com apoio técnico do Akrites. Se um projeto não tem mantenedor ativo, a equipe assume a responsabilidade pelo backport seguro e pela entrega de versões corrigidas em canais oficiais. Isso também afeta decisões de dependência: bibliotecas com suporte formal do Akrites passam a ter maior confiabilidade operacional, especialmente em ambientes regulados como financeiro ou saúde. Não há mudança na licença nem na governança dos projetos, só uma camada de suporte técnico e de segurança executável, alinhada com as práticas do OpenSSF.