“现在每个花20美元开账户的人都是研究员”：Akrites如何应对AI漏洞报告的洪流
内容提要
AI降低了漏洞挖掘门槛，大量不准确、重复的AI生成安全报告涌入开源维护者。Linux基金会发起Akrites项目，联合多家企业投入约200名借调工程师，采用AI初筛、人工复核的方式，将报告精简并附上测试用例和补丁后提交上游，以减轻维护者负担。
延伸解读
AI漏洞报告为何让维护者不堪重负
AI大幅降低了漏洞挖掘门槛，导致大量不准确、重复且缺乏修复信息的报告涌入开源项目。Akrites的Christopher Robinson指出，审查一个安全拉取请求可能耗费工程师长达8小时，这些时间本可用于修复漏洞或开发新功能。报告通常冗长、严重性被高估，且不提供编写补丁所需的关键数据，进一步加剧了维护者的负担。
AI模型的局限：缺乏项目上下文
AI模型能识别可疑代码，却不理解项目的整体安全架构。Linux基金会的Laura Guazzelli解释，模型无法判断其他位置已实施的控制措施是否已使所谓漏洞无害，因此难以准确标记误报。此外，多个模型工作原理相似，会针对同一代码库发现类似问题，导致维护者收到大量重复报告，浪费审查精力。
Akrites的应对：AI初筛加人工复核
Akrites采用AI评估 incoming 报告并识别重复项，再由约200名借调工程师进行人工复核。这些工程师多来自上游项目的贡献者或维护者，具备特定语言和代码库的专业知识。他们的任务是将报告精简、补充测试用例、概念验证和补丁，再提交给上游维护者，以便更快速、更明智地决策。
成本与可持续性：谁为安全买单
Akrites的运营依赖企业会员的财务和工程资源支持，包括Anthropic、OpenAI、Google等。Robinson强调，处理AI生成的安全问题成本不应落在开源维护者身上。目前Akrites有数十万份报告积压，需借助LLM基础设施和令牌，成本高昂。同时，项目致力于将安全改进回馈上游，避免成果仅被商业组织独占。
Q&A
Akrites是什么？它由谁发起？
Akrites是Linux基金会于2025年6月宣布的一项计划，旨在提供一个共享的安全事件响应团队（SIRT），负责整合漏洞报告、验证发现并与上游维护者协调修复。
为什么开源维护者会被AI生成的漏洞报告淹没？
AI大幅降低了漏洞挖掘的门槛，几乎任何人都能用AI工具探测开源代码库，导致大量不准确、重复、缺乏修复信息的报告涌入。这些报告通常冗长、不准确、高估严重性，且不提供工程师编写补丁所需的数据。
AI生成的漏洞报告主要有哪些问题？
主要问题包括：报告非常冗长、高度不准确、高估严重性、缺乏工程师编写补丁所需的关键数据；AI模型缺乏项目整体安全架构的上下文，无法判断误报；不同模型会找出相似漏洞，导致大量重复报告。
Akrites如何利用AI和人工来处理漏洞报告？
Akrites使用AI评估 incoming 报告并识别重复项，然后由借调工程师人工复核发现，再将报告精简、补充测试用例、概念验证和补丁后提交给上游维护者，帮助他们更快做出明智决策。
Akrites的成员需要提供哪些资源？
成员不仅需要提供资金支持，还需要承诺工程资源，每家最多可借调10名全职工程师。Robinson表示他拥有约200名借调工程师。部分因内部政策无法向上游贡献的金融机构则提供更多资金。
Akrites与OSS-CRS有什么区别？
Akrites专注于跨项目协调安全报告的处理，而OSS-CRS（开源网络推理系统）则致力于开发AI驱动的工具，让开源项目自己用来调查漏洞和生成修复。
