スマホのアプリも、会社のシステムも、銀行のサーバーも――その奥をたどっていくと、たいてい同じ「オープンソース」という共通の土台に行き着きます。誰かが無償で書き、世界中が黙って使ってきたコード。これまでその弱点を見つけるには、人間の専門家が何週間もかけて読み解く必要がありました。ところがAIが、その作業を数分で片づけてしまう時代になりました。見つける側が速くなったのは、守る側にとっても、攻める側にとっても同じこと。だとすれば、見つけた弱点を、悪用される前にどう直して、どう世界中へ届けるのか――この一点が、いま急に重くなっています。Linux Foundation が立ち上げた「Akrites」は、まさにそこに照準を合わせた取り組みです。名だたるIT企業や金融機関が顔をそろえたこの連合が、何を変えようとしているのか。順に見ていきます。
私たちが日々あたりまえに使っているアプリやサービスの多くは、その奥でオープンソースという「みんなの土台」に支えられています。The Linux Foundationは2026年6月25日、AIを悪用したサイバー脅威からクリティカルなオープンソースソフトウェアを守る協調的な取り組み「Akrites」を発表しました。
Amazon Web Services、Anthropic、Chainguard、Cisco、Citi、Endor Labs、Ericsson、Google、IBM、JPMorganChase、Microsoft および GitHub、NVIDIA、OpenAI、RapidFort、Red Hat、Rust Foundation、Sonatype、Vodafone、Zscaler が創設メンバーとして参加。共有のセキュリティインシデント対応チーム（SIRT）と、単一で標準化された協調的脆弱性開示（CVD）プロセスを確立し、脆弱性が悪用される前の上流での修正をめざします。
シード資金は、The Linux Foundationの指定ファンドであるAlpha-Omegaが提供します。Endor Labsによれば、直近数か月で浮かび上がった検証済みのオープンソース脆弱性のうち、パッチが当てられたのは5%未満だといいます。
【編集部解説】
このニュースを正しく受け止めるうえで欠かせないのは、「何が変わったのか」という一点です。これまでオープンソースのセキュリティは、深刻な欠陥を「見つけること」自体が難しく、攻撃者も防御者も同じだけの専門知識と時間を要する、いわば均衡の上に成り立っていました。ところがフロンティアAIモデルの登場で、専門家が数週間かけていた脆弱性発見を、機械が数分でこなすようになりました。つまり、希少だったのは「発見する力」だったのに、それがもはや希少ではなくなった――Akritesの本質は、この転換への対応にあります。
仕組みのかなめは2つです。1つは、業界共通の窓口となる「セキュリティインシデント対応チーム（SIRT）」。もう1つは、修正を公表するまでの手順を一本化した「協調的脆弱性開示（CVD）」プロセスです。これまでは複数の企業が同じ欠陥を別々に報告し、メンテナー（プロジェクトの維持管理者）が重複報告に埋もれたり、互いに矛盾するパッチが出回ったりしていました。Akritesはそれを1つの信頼できる経路に集約し、しかも修正が公開される前の段階を「機密」として扱います。パッチ公開後、攻撃者がAIを使って修正内容を解析し、攻撃に転用するリスクが高まるためです。
注目したいのは、これが「最初の動き」ではない点です。実はその約10日前、6月15日にChainguardが「Athena」という非常によく似た連合を発表していました。Athenaはすでに2万件超の脆弱性報告を処理し、500のオープンソースプロジェクトに対して2,000件超のパッチを出したと公表しています。そしてその発表時点で、Chainguardは「The Linux Foundationと組んで共有SIRTと『最後の砦としてのメンテナー』を作りたい」と明言していました。今回のAkritesは、Athena側が求めていたLinux Foundationとの共有SIRT構想と重なる、中立的な受け皿とみることもできます。
ポジティブな側面は明確です。防御側もAIの速度を味方につけられるようになり、しかも個社がバラバラに動く無駄が省けます。とりわけ、ボランティアで支えられてきたメンテナーにとって、報告の洪水ではなく「予測可能な1つのパートナー」が現れる意味は小さくありません。さらに、アクティブな管理者が不在になった重要パッケージについてはAkritesが「最後の砦」として最新版に修正を届けるため、世界中が依拠する古い基盤の延命にもつながります。
一方で、見落とせない緊張もあります。一部の技術者コミュニティでは早くも「大企業がエコシステムへの影響力を握りすぎないか」という懸念が上がりました。Amazon Web Services、Google、Microsoft、NVIDIA、OpenAIといった巨大企業と、JPMorganChaseやCiti、Vodafoneなどの大手が一堂に会する以上、「誰がメンテナー不在と判断し、誰が緊急パッチを審査するのか」というガバナンスの所在が問われます。機密性を重視するほど、オープンソースが本来持つ「透明性」との間で綱引きが生じる、という構造的なジレンマも残ります。
規制・政策の観点も見逃せません。Akritesは政府の取り組みとも連携すると明言しており、AIによる脆弱性発見能力をどこまで公開・制限すべきかという議論と地続きです。実際、フロンティアモデルを使った脆弱性発見プログラム（AnthropicのProject GlasswingやOpenAIのDaybreakなど）の存在は、各国のAI安全規制や政府調達・重要インフラ保護の議論とも接続しうる領域です。官民が足並みをそろえる枠組みづくりは、今後の制度設計の試金石になるかもしれません。
最後に、日本の読者にとっての意味を補っておきます。日本の金融機関や製造業、公共システムも、その足元では同じオープンソースの基盤に支えられています。JPMorganChaseが「成功はパッチの公開ではなく、現場への展開で測る」と述べたように、Akritesが変えようとしているのは発見の速度だけではなく、修正が実システムに届くまでの最後の数メートルです。発見が無料同然になった時代に、人類が積み上げてきた共有資産をどう守り続けるのか――Tech for Human Evolutionを掲げる私たちにとって、これは技術ニュースであると同時に、デジタル文明の維持をめぐる統治の問いでもあるのです。
【用語解説】
オープンソースソフトウェア（OSS）
ソースコードが公開され、誰でも利用・改変・再配布できるソフトウェアのこと。LinuxやKubernetesなど、現代のインフラの大半がこの上に成り立っている。
脆弱性（ぜいじゃくせい）
ソフトウェアに潜む、攻撃に悪用されうる欠陥や設計上の弱点を指す。放置されると不正アクセスやデータ漏えいの入口になる。
メンテナー
オープンソースプロジェクトを維持・管理する人。多くは無償のボランティアであり、報告対応やパッチ作成を担う。Akritesが守ろうとしている当事者でもある。
パッチ
脆弱性や不具合を修正するための更新プログラム。公開された瞬間に攻撃者が中身を逆解析しうるため、「公開のタイミング」自体が安全保障上の論点になっている。
SIRT（セキュリティインシデント対応チーム）
脆弱性報告の受付・検証・調整・修正を担う専門チーム。Akritesは業界共有のSIRTを1つ設けることで、ばらばらの報告を一本化する。
CVD（協調的脆弱性開示）
脆弱性を発見してから、修正が用意され公表されるまでの手順を関係者で足並みをそろえて進める方式。Coordinated Vulnerability Disclosureの略である。
フロンティアAIモデル
最先端の大規模AIモデルを指す。大規模なコードベースを読み解き、数分で脆弱性を洗い出す能力が、今回の取り組みの前提になっている。
最後の砦としてのメンテナー（maintainer of last resort）
アクティブな管理者が不在になったオープンソースに対し、Akritesが代わって最新版へ修正を届ける役割。重要な基盤の延命策である。
Project Glasswing / Daybreak
それぞれAnthropic、OpenAIによる、フロンティアモデルを使った脆弱性発見プログラム。発見結果（findings）を連合に供給する「入口」として位置づけられている。
【参考リンク】
Akrites（公式サイト）（外部）
Linux Foundationと業界主要企業が立ち上げた、オープンソースの脆弱性を協調的に修正・開示する取り組みの公式サイト。
The Linux Foundation（外部）
Linux、Kubernetes、PyTorchなど世界のインフラを支えるオープンソースの協働を担う非営利団体。Akritesの母体である。
Chainguard「Athena」（外部）
Akritesの約2週間前にChainguardが発表した、開示前にオープンソースの脆弱性を修正する業界連合の公式ページ。
Alpha-Omega（外部）
Linux Foundationの指定ファンドで、重要オープンソースの脆弱性発見・修正に資金提供。Akritesのシード資金を拠出した。
Endor Labs（外部）
ソフトウェアサプライチェーンのセキュリティを手がける企業。「パッチ済みは5%未満」という指摘の発信元である。
【参考記事】
Chainguard Launches Athena, the Industry Coalition to Fix Open Source Vulnerabilities（PR Newswire）（外部）
Akritesの前段となる連合Athenaの発表。2万件超の処理と2,000件超のパッチを公表した記事。
AWS and Others Invest $12.5M to Defend the Open Source Ecosystem from AI Threats（AWS）（外部）
AIが脆弱性発見を加速する前提を、1,250万ドル投資と500件超の発見実績で裏づける背景記事。
Linux Foundation Unveils New Open Source Security Project Akrites（SecurityWeek）（外部）
AkritesがAthenaの2週間足らず後に登場し同じ道を歩むと指摘。本解説の差別化視点の主たる出典。
Chainguard, BNY Team Up to Secure Open Source from AI Threats（Infosecurity Magazine）（外部）
AthenaがGlasswingやDaybreakの発見を受け入れる点を解説。規制・政策の文脈を補う記事。
Linux Foundation Launches Akrites To Coordinate AI-Driven Open Source Security（Slashdot）（外部）
「大企業の影響力が強すぎないか」という技術者コミュニティの懸念を伝える記事。
Akrites by Linux Foundation: AI-Era Coordinated Open Source Vulnerability Fixes（Windows Forum）（外部）
「発見制約から協調制約の時代へ」という構造分析を提示する論考。
Critical open-source projects get a new security framework（Help Net Security）（外部）
AkritesがAlpha-OmegaやOpenSSFの延長線上にある点を整理。制度的な位置づけの理解に用いた。
【関連記事】
TrendAI、AnthropicのProject Glasswingに参加｜Claude Mythosで脆弱性発見を加速
Anthropic主導の限定連合Glasswingが「発見」を担うのに対し、Akritesは共有SIRTとCVDで「修正・開示の協調」を担う。両者の補完関係が見える一本。
Claude Mythos Preview、開始1か月で深刻脆弱性1万件超を検出 ─ Anthropic「Project Glasswing」が暴いたAIサイバー防御の新局面
1万件超の発見に対しパッチは75件。発見の規模と修正の遅れというギャップが、Akritesが「修正をどう届けるか」に挑む理由を物語る。
Linux、AI生成バグ報告で混乱 ― トーバルズが語る「管理不能」の実態と新ルール
Linuxカーネル単体で起きた「報告の洪水」という問題側の実例。Akritesが業界横断で解こうとする課題が、現場でどう噴出したかがわかる。
【編集部後記】
この記事をまとめながら、ずっと頭から離れなかったのは「速さ」の話でした。AIのおかげで弱点が数分で見つかる――そう聞くと、つい「すごい時代になった」で済ませてしまいそうになります。でも、よく考えると、見つかった弱点を実際に直すのは、いまも昔も人間です。しかもその多くは、報酬も注目もないまま、好きで続けてきたボランティアのメンテナーたち。発見だけが一気に速くなって、修正の手が変わらないなら、しわ寄せはぜんぶその人たちに行きます。Akrites が「発見」ではなく「修正と開示の協調」に軸足を置いたのは、たぶんそこに気づいたからだと思います。
もうひとつ気になったのは、これだけの顔ぶれが一堂に会することの意味です。AWS も Google も Microsoft も、銀行も通信会社も同じテーブルに着く。心強い反面、「誰がメンテナー不在を判断し、誰が緊急の修正を審査するのか」という主導権の問題は、これから時間をかけて見ていく必要がありそうです。オープンソースが本来持っていた「全部オープンに」という精神と、悪用を防ぐための「いったん伏せておく」という機密性。この二つは、どこかで必ずぶつかります。そのバランスを、巨大企業の集まりがどう取っていくのか――発足したばかりのいまは、まだ誰にもわかりません。
それでも、ひとつ確かなことがあります。私たちが毎日あたりまえに使っているサービスは、顔も名前も知らない誰かが書いたコードの上で動いている、ということです。そのコードを守る仕組みが、ようやく業界全体の課題として動き出した。これは遠いどこかの話ではなく、みなさんのスマホの中身にもつながっている話です。次にアプリを開くとき、その足元に広がる「みんなの土台」のことを、少しだけ思い出してもらえたら。そして、この先どう転んでいくのか、一緒に見届けていけたらと思います。
