Iedereen met een $20 account is nu een onderzoeker
18 oktober 2026 · 2 min leestijd
Ook gepubliceerd in Italiano, Português (Brasil), Svenska
AI maakt het makkelijker om potentiële beveiligingszwaktes in opensource software te vinden. Maar een potentiële zwakte is niet automatisch een echte fout. Daardoor worden maintainers overspoeld met AI gegenereerde rapporten die onnauwkeurig zijn, dupliceren of geen details bevatten die nodig zijn om fixes te deployen.
Akrites, een initiatief van de Linux Foundation dat in juni werd aangekondigd, wil dit oplossen. Het initiatief biedt een gedeelde security incident response team (SIRT) dat rapporten consolideert, bevindingen valideert en fixes coördineert met upstream maintainers.
Tijdens Open Source Summit Europe in Praag sprak The New Stack met Christopher Robinson, CTO van Akrites en chief security architect bij OpenSSF, en Laura Guazzelli, security architect voor AI en agentic systems bij de Linux Foundation. Ze bespraken de druk op maintainers, waarom betere AI modellen hun leven niet gemakkelijker maken en hoe Akrites het probleem wil tackelen.
Een groot deel van de uitdaging is dat AI de drempel voor vulnerability hunting heeft verlaagd. Iedereen met een $20 account kan nu een onderzoeker zijn, ongeacht hun beveiligingskennis.
“Everybody with a $20 account is now a researcher,” zei Robinson.
Robinson benadrukte dat AI gegenereerde rapporten vaak te verbos zijn, onnauwkeurig en de ernst van problemen overschatten. Ze leveren meestal niet de juiste data die engineers nodig hebben om een patch te schrijven.
Volgens Guazzelli kunnen AI modellen verdachte code identificeren zonder de bredere beveiligingsarchitectuur van een project te begrijpen. “De robots hebben geen context,” zei ze. “Daarom kunnen ze een false positive niet altijd aanwijzen, omdat ze niet weten dat er elders extra beveiligingsmaatregelen zijn.”
Daarnaast kunnen meerdere AI modellen dezelfde zwakte melden, wat leidt tot duplicabele rapporten. “We krijgen een ton duplicabele rapporten,” zei Robinson.
Hoewel de kwaliteit van AI rapporten is verbeterd, bereiken deze voordelen niet altijd de maintainers. “Betere rapporten komen van duurdere modellen,” zei Robinson. “Bedrijven zijn beter voorbereid, maar ze sturen de bevindingen niet altijd door naar upstream projecten.”
Akrites heeft steun van grote bedrijven zoals Anthropic, OpenAI, Google, Microsoft, AWS, NVIDIA, Cisco, IBM, Red Hat, Citi en JPMorganChase. Het initiatief vraagt niet alleen financiële bijdragen, maar ook engineering resources van tot wel 10 fulltime engineers per lid.
“Ik heb een vloot van ongeveer 200 tweedeurs ingenieurs,” zei Robinson.
De aanwezigheid van ervaren engineers zorgt ervoor dat menselijke expertise de robot gegenereerde bevindingen controleert.
Grounding score: 1.0