Liên minh Athena cho biết AI đang phát hiện số lượng lớn lỗ hổng mã nguồn mở
"The article reports that AI-powered vulnerability discovery is surfacing large numbers of previously hidden flaws in open source software, creating a backlog of disclosures and patches for security teams and maintainers. Chainguard’s Athena coalition says it has processed over 20,000 findings, produced more than 2,000 patches across 500 projects, and is coordinating disclosure and remediation through a clearinghouse model; the Linux Foundation also announced Akrites to standardize coordinated vulnerability disclosure and incident response for AI-enabled findings."
AI làm tăng tốc độ phát hiện và mở rộng phạm vi lỗ hổng trong mã nguồn mở, khiến rủi ro khai thác có thể tăng khi thời gian từ công bố đến khai thác rút ngắn; do đó cần cơ chế CVD và phối hợp vá lỗi để giảm phân mảnh bản vá.
Khối lượng phát hiện và bản vá lớn tạo áp lực cho đội vận hành và maintainers, nhưng mô hình clearinghouse và SIRT có thể giúp giảm chi phí phối hợp và tăng khả năng xử lý theo lộ trình; rủi ro chính là tồn đọng lỗ hổng trước khi bản vá sẵn sàng.
Một báo cáo từ liên minh Athena cho thấy việc ứng dụng AI trong phát hiện lỗ hổng đang làm lộ ra nhiều điểm yếu trước đây chưa được nhận diện trong phần mềm mã nguồn mở. Theo CEO Chainguard Dan Lorenc, Athena đã xử lý hơn 20.000 phát hiện và phát triển hơn 2.000 bản vá trên 500 dự án mã nguồn mở. Nhóm cho biết đợt công bố lỗ hổng đầu tiên sẽ bắt đầu trong khoảng ba tuần.
Athena dự định nhận các phát hiện do nhiều mô hình AI “frontier” tạo ra, đồng thời phối hợp công bố và khắc phục theo mô hình “clearinghouse”. Cách tiếp cận này nhằm giảm tình trạng quá tải cho nhóm duy trì dự án khi số lượng báo cáo tăng mạnh. Lorenc cũng nhấn mạnh rằng khi chạy mô hình ở cấp độ ứng dụng, tổ chức có thể phát hiện lỗ hổng trong các thành phần mã nguồn mở mà họ không thể tự sửa trực tiếp.
Bên cạnh đó, Linux Foundation công bố Akrites nhằm chuẩn hóa Coordinated Vulnerability Disclosure (CVD) và thiết lập Security Incident Response Team (SIRT) cho các phát hiện do AI hỗ trợ. Khuyến nghị cho đội kỹ thuật: rà soát quy trình tiếp nhận báo cáo, chuẩn hóa kênh liên hệ với maintainers, ưu tiên vá theo mức độ rủi ro và theo dõi thời gian từ CVE đến khai thác thực tế.