Akrites consolida le segnalazioni di vulnerabilità AI a costo di 20 dollari
18 ottobre 2026 · 2 min di lettura
Akrites, l'iniziativa della Linux Foundation annunciata a giugno, si propone di gestire l'ondata di report di vulnerabilità generati dall'intelligenza artificiale. Durante Open Source Summit Europe a Praga, Christopher Robinson, CTO di Akrites, ha spiegato che chi possiede un account da 20 dollari può ora agire come ricercatore. Robinson ha definito questa situazione con la frase "Everybody with a $20 account is now a researcher", sottolineando come l'intelligenza artificiale abbia abbassato la barriera all'ingresso per la caccia alle vulnerabilità.
Nonostante la facilità di trovare potenziali difetti, la qualità dei report rimane bassa. Robinson ha affermato che i report sono "very verbose" e "highly inaccurate", spesso esagerano la gravità e mancano dei dati necessari per scrivere una patch. Inoltre, i modelli AI tendono a trovare bug simili, generando un numero elevato di report duplicati. Guazzelli ha aggiunto che i robot non possiedono il contesto architetturale completo, quindi non possono identificare correttamente i falsi positivi.
Il problema si traduce in un costo elevato per i mantainer. Robinson ha stimato che la revisione di una singola pull request di sicurezza può richiedere fino a otto ore. Nonostante la qualità dei report sia migliorata quest'anno, i risultati migliori provengono dai modelli più costosi, che le aziende non segnalano necessariamente ai progetti upstream. Akrites risponde creando un team di risposta alle incidenti condiviso (SIRT) che convalida i findings e coordina le correzioni con i mantainer upstream. I membri fondatori, tra cui Anthropic, OpenAI, Google e Microsoft, contribuiscono con ingegneri secondati, fino a 200 secondo Robinson, per filtrare i report e garantire un controllo umano sui risultati importanti.