Projektet Akrites har annonserats för att koordinera åtgärder mot sårbarheter och informationsdelning om sårbarheter i kritiskt viktig öppen programvara. Projektet har skapats under Linux Foundation med deltagande från företag som Amazon Web Services, Anthropic, Cisco, Ericsson, Google, IBM, Microsoft/GitHub, NVIDIA, OpenAI, RapidFort, Red Hat, Sonatype och Vodafone, samt den ideella organisationen Rust Foundation.
Deltagarna i projektet kommer att tillhandahålla finansiering, ingenjörsresurser och expertis inom cybersäkerhet för att skapa ett gemensamt incidenthanteringsteam (SIRT, Security Incident Response Team). Det skapade teamet kommer att arbeta med att identifiera nya sårbarheter, analysera och verifiera rapporter om sårbarheter, bekräfta risknivåer, utveckla korrigeringar tillsammans med de som underhåller öppna projekt och samordna informationsdelningsprocessen om sårbarheter. Informationsdelning om sårbarheter kommer att synkroniseras med utgivningen av korrigeringar i huvudsakliga projekt, distributioner och beroende produkter.
Det noteras att om det tidigare krävdes expertkunskap och en lång utvecklingsprocess för att skapa exploateringar, så gör moderna AI-verktyg det möjligt för okvalificerade angripare att snabbt skapa fungerande exploateringar på bara några timmar, med information om patchar som löser problemet. Om korrigeringen för en sårbarhet släpps utan en tydlig offentliggöring av koppling till säkerhetsproblem kan användare och utvecklare av beroende projekt ignorera uppdateringen, medan angripare snabbt med hjälp av AI-verktyg kan förbereda exploateringar för att attackera icke uppdaterade system.
Under sådana förhållanden blir det viktigt att snabbt åtgärda problemet, förhindra informationsläckage under utvecklingen av patchar, samtidigt som sårbarhetsinformation offentliggörs vid publicering av korrigeringar och att informera användarna om behovet av att installera uppdateringar. Separat kommer arbete att utföras för att informera operatörer av kritisk infrastruktur, viktiga tjänster och projekt om sårbarheter, eftersom det är viktigare än själva publiceringen av patchar att de tillämpas snabbt för att blockera potentiella attacker.
Dessutom har projektet som mål att avlasta de som ansvarar genom att ta hand om uppgifter som att filtrera bort dubblettrapporter om problem, bekräfta förekomsten av sårbarheter och hjälpa till med utveckling och testning av korrigeringar.
Vid identifiering av sårbarheter i viktiga paket som saknar aktiva underhållare kommer Akrites-projektet att ta på sig att förbereda och integrera korrigeringar i dem.
Källa: opennet.ru
