Linux Foundation samler AI-labene om open source-sikkerhet

Linux Foundation har lansert Akrites, et industrisamarbeid for å beskytte kritisk open source mot AI-aktiverte cybertrusler. Deltakerlisten er tung: AWS, Anthropic, Chainguard, Cisco, Citi, Endor Labs, Ericsson, Google, IBM, JPMorgan Chase, Microsoft og GitHub, NVIDIA, OpenAI, Red Hat, Rust Foundation, Sonatype, Vodafone, Zscaler og flere andre.

Målet er å koordinere funn, retting og ansvarlig varsling av sårbarheter i programvare som store deler av økonomien bygger på. Linux Foundation beskriver initiativet som et svar på en ny fase der AI gjør sårbarhetsfunn billigere og raskere, mens vedlikeholderne fortsatt har begrenset tid, begrenset finansiering og begrenset kapasitet til å håndtere rapporter.

Det er en viktig forskyvning. I mange år har sikkerhetsarbeidet handlet om å finne mer: mer skanning, flere bug bounty-programmer, flere rapporter, flere verktøy. Med bedre AI-verktøy kan funnraten øke raskere enn evnen til å fikse. Da blir patching, triage og koordinering den reelle flaskehalsen.

For norske virksomheter er dette ikke et abstrakt open source-problem. Bank, industri, helse, handel og offentlig sektor kjører alle på åpne komponenter, ofte flere lag unna applikasjonen ledelsen ser. En sårbarhet i et lite bibliotek kan treffe en kritisk tjeneste via containere, transitive avhengigheter eller leverandørers leverandører. AI gjør ikke denne avhengigheten ny. AI gjør tempoet høyere.

Akrites peker mot en mer moden modell: funn må kobles til retting, test og ansvarlig varsling før svakhetene blir angrepsoppskrifter. Det er sunnere enn å slippe store mengder AI-genererte sårbarhetsrapporter rett på åpne prosjekter og håpe at frivillige vedlikeholdere rydder opp.

CISO-er bør bruke nyheten til å stramme egne prosesser. Først må virksomheten vite hvilke åpne komponenter den faktisk bruker. SBOM må være operativt, ikke en PDF som lages ved revisjon. Deretter må eierskap være tydelig: Hvem vurderer en kritisk sårbarhet i et bibliotek som brukes av fem interne produkter og tre leverandører? Hvem kan beslutte midlertidige tiltak hvis patch ikke finnes?

Innkjøp bør også ta dette inn i leverandørstyringen. Leverandører som selger AI-plattformer, sikkerhetsprodukter eller skytjenester bør kunne forklare hvordan de følger kritiske open source-komponenter, hvordan de mottar koordinerte varsler, og hvor raskt de kan rulle ut rettinger. «Vi bruker open source» er ikke en risiko. «Vi vet ikke hvordan vi patcher open source i verdikjeden» er det.

For styret er den korte versjonen: AI vil sannsynligvis øke antallet kjente svakheter raskere enn organisasjonen øker kapasiteten til å rette dem. Da må prioriteringen flyttes fra skanning til beslutningshastighet. Hvilke systemer er kritiske? Hvilke avhengigheter er mest eksponert? Hvilke leverandører har patch-SLA som faktisk holder?

Akrites løser ikke dette alene. Men initiativet er et tydelig signal fra de største aktørene: open source-sikkerhet er blitt felles infrastruktur i AI-alderen. Det bør behandles som beredskap, ikke dugnad.

Kilder og medier

• Kilde: Linux Foundation, "Linux Foundation and Industry Leaders Launch Akrites to Defend Critical Open Source Software Against AI-Enabled Cyber Threats", 25. juni 2026. https://www.linuxfoundation.org/press/linux-foundation-and-industry-leaders-launch-akrites-to-defend-critical-open-source-software-against-ai-enabled-cyber-threats
• Kildekreditering: Linux Foundation.
• Thumbnail: OpenAI Image 2 / hogby.ai