लिनक्स फाउंडेशन ने गुरुवार को 19 संस्थापक संगठनों—अमेज़ॅन, एंथ्रोपिक, सिटी, गूगल, जेपीमॉर्गनचेज़, माइक्रोसॉफ्ट, एनवीडिया, ओपनएआई और अन्य—के साथ अक्राइटिस (Akrites) लॉन्च किया, ताकि AI-संचालित हमलावरों द्वारा इसका फायदा उठाए जाने से पहले महत्वपूर्ण ओपन-सोर्स सॉफ्टवेयर की पैचिंग में समन्वय स्थापित किया जा सके।

यह पहल एक ऐसी समय-सीमा की समस्या का समाधान करती है जिसे AI ने तत्काल बना दिया है। फ्रंटियर मॉडल अब मिनटों में एक बड़े ओपन-सोर्स प्रोजेक्ट को स्कैन कर सकते हैं और कई पुष्ट कमजोरियां बता सकते हैं—यह काम जिसमें एक कुशल सुरक्षा शोधकर्ता को पहले कई सप्ताह लगते थे। जैसा कि डिक्रिप्ट (Decrypt) ने रिपोर्ट किया है, क्लाउड ओपस 4.8 (Claude Opus 4.8) ने एक दिन के भीतर जेडकैश (Zcash) के ऑर्चर्ड प्राइवेसी पूल में एक महत्वपूर्ण खामी का पता लगाया, जिससे एक बग सामने आया जो क्रिप्टोग्राफर समीक्षा के चार साल बाद भी मौजूद था।

अगर व्हाइट हैट हैकर्स उन खामियों को ढूंढ लेते हैं, तो सब ठीक है। यदि दुर्भावनापूर्ण तत्व ऐसा करते हैं, तो चीजें बहुत तेज़ी से गड़बड़ हो सकती हैं। एंथ्रोपिक के डिप्टी सीआईएसओ जेसन क्लिंटन ने पत्र में कहा कि समन्वित खुलासे का मौजूदा मॉडल "उस गति से पीछे छूट गया है जिससे AI अब कमजोरियां ढूंढ सकता है"—और यह कि अपस्ट्रीम में सुधार तक पहुंचने के लिए "उनके खुलासा होने और शोषण किए जाने से पहले" निष्कर्षों पर समन्वय स्थापित करना आवश्यक है।

अक्राइटिस से पहले का समन्वित खुलासा मॉडल उस गति के लिए नहीं बनाया गया था। कई संगठन स्वतंत्र रूप से एक ही लाइब्रेरी को स्कैन करते थे और बग को ठीक करने से पहले लंबी नौकरशाही प्रक्रियाओं से गुजरते थे—एक ऐसी प्रक्रिया जिसे सभी 19 संस्थापक संगठनों द्वारा हस्ताक्षरित एक खुले पत्र ने "मेंटेनर्स को शोर के नीचे दबाना" कहा।

एंडोर लैब्स के सीईओ वरुण बधवार ने आगे कहा: हाल के महीनों में AI द्वारा सामने लाई गई हजारों मान्य ओपन-सोर्स कमजोरियों में से "5% से भी कम को पैच किया गया है।"

अक्राइटिस उस प्रक्रिया को एक एकल, गोपनीय सुरक्षा घटना प्रतिक्रिया टीम (Security Incident Response Team) से बदल देता है—मेंटेनर्स के लिए असंगठित रिपोर्टों की बाढ़ के बजाय एक अनुमानित भागीदार। फिक्स, भेद्यता ट्रैकिंग के मानकों का उपयोग करके, मेंटेनर्स की शर्तों पर प्रत्येक प्रोजेक्ट के मूल रिपॉजिटरी में वापस आ जाते हैं। जब किसी महत्वपूर्ण पैकेज का कोई सक्रिय मेंटेनर नहीं होता है, तो अक्राइटिस अंतिम उपाय के मेंटेनर के रूप में कदम रखने के लिए प्रतिबद्ध है।

कार्यक्रम को पहले लीक को रोकने के लिए बनाया गया था—खुले पत्र ने व्यापक रूप से तैनात पैकेज में एक अज्ञात खामी को "एक हथियार" कहा। रस्ट फाउंडेशन की सीईओ रेबेका रंबल ने कहा कि ओपन-सोर्स मेंटेनर्स की सद्भावना को बहुत लंबे समय से हल्के में लिया गया है और यह पहल उन्हें समन्वय में काम करने में मदद करेगी।

उन्होंने कहा, "अक्राइटिस अपस्ट्रीम मेंटेनर्स के साथ सार्थक समन्वय, वित्तीय और पूर्णकालिक समर्थन का वादा करता है ताकि सुरक्षा कमजोरियों को जिम्मेदारी से खोजा, ठीक किया और खुलासा किया जा सके, और इस समस्या को हल करने के लिए तकनीक और वित्त के सबसे प्रभावशाली कंपनियों की सच्ची प्रतिबद्धता का भी वादा करता है।"

जेपीमॉर्गनचेज़ के सीआईएसओ पैट ओपेट ने बताया कि इस प्रयास के लिए सफलता वास्तव में क्या आवश्यक है। ओपेट ने कहा, "AI ने भेद्यता की खोज और शोषण के बीच के समय को वास्तविक समय के करीब massively compressed कर दिया है"—जिसका अर्थ है कि विरोधी एक प्रकाशित पैच को रिवर्स-इंजीनियर कर सकते हैं और कई डाउनस्ट्रीम सिस्टम द्वारा फिक्स को तैनात करने से पहले एक काम करने वाला शोषण (exploit) बना सकते हैं।

ओपेट के अनुसार, सफलता "पैच का प्रकाशन नहीं, बल्कि पैच का डिप्लॉयमेंट" है।

ओपनएआई ने अक्राइटिस से तीन दिन पहले अपना एक समानांतर प्रयास, पैच द प्लैनेट (Patch the Planet) लॉन्च किया था—यह GPT-5.5-साइबर (GPT-5.5-Cyber) और ट्रेल ऑफ बिट्स (Trail of Bits) के इंजीनियरों का 19 ओपन-सोर्स प्रोजेक्ट्स पर एक पहला स्प्रिंट था जिसने दर्जनों पैच को मर्ज किया। ओपनएआई साइबर लीड क्लिंट गिबलर ने ओपन सोर्स को सुरक्षित करने को कंपनी के लिए "एक दीर्घकालिक प्रतिबद्धता" कहा और कहा कि अक्राइटिस "उद्योग भर में समन्वय को मजबूत करने" में मदद करता है।

हालांकि समान, दोनों प्रयासों का दायरा अलग है: पैच द प्लैनेट AI-सहायता प्राप्त खोज और विशेषज्ञ मानव समीक्षा के साथ पैच डिलीवरी पर केंद्रित है; अक्राइटिस समन्वय परत का निर्माण करता है जो मान्य निष्कर्षों को उद्योग भर में अपस्ट्रीम में भेजता है।

लिनक्स फाउंडेशन का एक निर्देशित फंड, अल्फा-ओमेगा (Alpha-Omega), अक्राइटिस के लिए बीज वित्तपोषण प्रदान करेगा। इस फंड ने 2022 से ओपन-सोर्स सुरक्षा परियोजनाओं को 20 मिलियन डॉलर से अधिक के कुल 70 से अधिक अनुदान जारी किए हैं। अन्य संगठन akrites.org पर इंजीनियरिंग संसाधन या धन का योगदान करके इसमें शामिल हो सकते हैं।