Foi anunciado o projeto Akrites para coordenar a correção de vulnerabilidades e a divulgação de informações sobre vulnerabilidades em software livre crítico. O projeto foi criado sob a orientação da Linux Foundation, com a participação de empresas como Amazon Web Services, Anthropic, Cisco, Ericsson, Google, IBM, Microsoft/GitHub, NVIDIA, OpenAI, RapidFort, Red Hat, Sonatype e Vodafone, além da organização sem fins lucrativos Rust Foundation.
Os participantes do projeto fornecerão financiamento, recursos de engenharia e expertise em segurança cibernética para criar uma equipe integrada de resposta a incidentes (SIRT, Security Incident Response Team). A equipe criada será responsável por identificar novas vulnerabilidades, analisar e verificar relatórios de vulnerabilidades, confirmar o nível de severidade, desenvolver correções em conjunto com os mantenedores de projetos abertos e coordenar o processo de divulgação de informações sobre vulnerabilidades. A divulgação de informações sobre vulnerabilidades será sincronizada com o lançamento de correções nos principais projetos, distribuições e produtos dependentes.
Observa-se que, enquanto anteriormente a criação de exploits exigia conhecimento especializado e um longo processo de desenvolvimento, agora as capacidades de ferramentas de IA permitem que criminadores não qualificados criem um exploit funcional em questão de horas, utilizando informações sobre o patch que corrige o problema. No caso de a correção para uma vulnerabilidade ser lançada sem uma divulgação explícita sobre sua relação com problemas de segurança, usuários e desenvolvedores de projetos dependentes podem ignorar a atualização, enquanto os criminosos, com a ajuda de ferramentas de IA, podem rapidamente preparar um exploit e começar a atacar sistemas desatualizados.
Nessas circunstâncias, a rapidez na correção do problema torna-se crucial, assim como a prevenção de vazamentos de informações durante o desenvolvimento dos patches, a divulgação simultânea de informações sobre a vulnerabilidade com a publicação da correção, e informar os usuários sobre a necessidade de instalar a atualização. Um trabalho separado será realizado para informar sobre vulnerabilidades operadores de infraestrutura crítica, serviços importantes e projetos, já que, do ponto de vista da prevenção de ataques potenciais, o que importa não é apenas a publicação do patch, mas sua aplicação rápida.
Além disso, o projeto tem como objetivo aliviar a carga sobre os mantenedores, assumindo tarefas como filtrar relatórios duplicados de problemas, confirmar a existência de vulnerabilidades e oferecer assistência no desenvolvimento e teste de correções.
Ao identificar vulnerabilidades em pacotes importantes que ficaram sem mantenedores ativos, o projeto Akrites assumirá a responsabilidade de preparar e integrar correções.
Fonte: opennet.ru
