---
title: Alla med ett 20 USD-konto blir nu forskare: Akrites tar itu med floden av AI-buggrapporter
url: https://www.elseif.net/sv/alla-med-ett-20-usd-konto-blir-nu-forskare-akrites-tar-itu-med-floden-av-ai-buggrapporter
published: 2026-10-18T15:14:52+00:00
language: sv
section: Modeller
source: https://thenewstack.io/akrites-ai-vulnerability-reports/
organizations: Linux Foundation, OpenSSF, The New Stack, Anthropic, OpenAI, Google
publisher: elseif
---

# Alla med ett 20 USD-konto blir nu forskare: Akrites tar itu med floden av AI-buggrapporter

AI gör det enklare än någonsin att hitta potentiella säkerhetsbrister i öppen källkod. Men att identifiera något som ser ut som en brist är inte samma sak som att hitta en verklig säkerhetsrisk. Därför blir underhållare överväldigade av AI-genererade rapporter som är felaktiga, upprepade eller saknar den information som behövs för att implementera korrigeringar.

Det är ett problem som Akrites, en initiativ som lanserades av Linux Foundation i juni, försöker lösa. Enligt The New Stack skapades Akrites för att tillhandahålla en gemensam säkerhetsincidentresponsgrupp (SIRT) som samlar in buggrapporter, verifierar dem och koordinatorer korrigeringar med uppströmsunderhållare.

Efter tre månader samlade The New Stack upplevelser på Open Source Summit Europe i Prag förra veckan, där vi intervjuade Christopher Robinson, CTO på Akrites och huvudarkitekt för säkerhet på OpenSSF, samt Laura Guazzelli, säkerhetsarkitekt för AI och agentbaserade system på Linux Foundation. Vi diskuterade den ökade pressen på underhållare, varför bättre AI-modeller inte nödvändigtvis förenklar deras arbete, och hur Akrites försöker adressera problemet.

En del av utmaningen är att AI har kraftigt sänkt tröskeln för att söka efter brister, vilket gör att nästan vem som helst kan börja granska öppen källkod oavsett säkerhetskompetens.

"Alla med ett 20 USD-konto blir nu forskare", säger Robinson till The New Stack.

Robinson uppskattar att granska en enda säkerhetspatch kan ta upp till åtta timmar för en ingenjör, tid som istället kunde användas för att fixa buggar, förbättra programvara eller utveckla nya funktioner.

"De är mycket verbala. De är mycket oaccurata. De överskattar allvarligheten. Och de ger generellt inte den data som en ingenjör behöver för att kunna skriva en korrigering eller förstå vad det handlar om."

Guazzelli påpekar att AI-modeller kan identifiera misstänkt kod utan att förstå den bredare säkerhetsarkitekturen i ett projekt, inklusive skyddsmekanismer som redan är på plats och som kan göra en rapporterad brist irrelevant.

"Robotarna har inte kontext", säger hon. "Därför kan de inte nödvändigtvis kalla något en falsk positiv, eftersom de inte förstår att du har kontroller som dessutom tillämpas på andra platser."

Det betyder att en modell kan flagga en kodavsnitt som sårbar utan att inse att andra säkerhetsåtgärder redan förhindrar att den kan utnyttjas. Vad ser ut som en allvarlig issue i isolering kan i själva verket vara betydligt mindre kritisk.

Robinson påpekar också att liknande AI-modeller ofta identifierar liknande buggar, vilket leder till många duplicerade rapporter.

"Vi får en massa duplicerade rapporter", fortsätter han.

Även om tekniken blir bättre har förbättringarna inte nödvändigtvis nått underhållarna. Robinson säger att kvaliteten på AI-genererade buggrapporter har förbättrats avsevärt i år, men fördelarna når inte alltid fram till dem som behöver dem.

"Bättre rapporter kommer från dyrare betalda modeller", säger han. "Företag är bättre förberedda, men de rapporterar inte nödvändigtvis sina funnanden till uppströmsprojekt."

Att helt avvisa AI-genererade rapporter är inte ett alternativ. Samma teknik som skapar brus kan också upptäcka verkliga säkerhetsbrister, inklusive kombinationer av mindre brister som kan utnyttjas tillsammans.

"De kan ta en serie av små problem och eskalera dem till en större utnyttjbarhet", säger Robinson. "Det är månader eller ett års arbete som en dator kan göra på bara några timmar."

Akrites har stark branschstöd från start, med grundläggande medlemmar som Anthropic, OpenAI, Google, Microsoft, AWS, NVIDIA, Cisco, IBM, Red Hat, Citi, JPMorganChase med flera.

Det som skiljer Akrites från andra Linux Foundation-projekt är att dess medlemmar inte bara uppmanas att skänka pengar. Även om finansiella bidrag är en del av avtalet, förväntas medlemmar också bidra med ingenjörsresurser, upp till tio heltidsingenjörer vardera, enligt Robinson. Vissa företag, som finansiella institutioner med interna regler som förbjuder upstream-bidrag, lägger istället in mer pengar.

"Jag har en flotta på cirka 200 andraingenjörer", säger Robinson.

"Jag har en flotta på cirka 200 andraingenjörer."

Många av dessa ingenjörer är redan bidragsgivare eller underhållare i uppströmsprojekt, vilket ger dem expertis i specifika programmeringsspråk och kodbaser samt etablerade relationer med de communityer Akrites vill hjälpa.

"De är människorna i loopen", säger han. "Jag litar på roboten, men jag vill ha en mänsklig översyn av saker som är mycket viktiga."

Grounding score: 1.0