Anthropic・OpenAI・GitHubも参加。オープンソースを守る新組織「Akrites」が9月始動

📖 推定読了時間：約7分

このブログでも、AUR（Arch User Repository）の乗っ取り攻撃をはじめ、オープンソースソフトウェアを狙ったサプライチェーン攻撃の話題を何度か取り上げてきました。個々のプロジェクトだけで対応するには、もう限界が来ているのではと感じていた人もいるかもしれません。そんな中、2026年9月から、業界全体で足並みを揃えて対応する新しい取り組みが本格的に動き出します。その名も「Akrites（アクリテス）」です。この記事では、その概要を紹介します。

「個々のプロジェクトだけで守る」には、もう限界だった

オープンソースソフトウェアの多くは、有志の開発者が手弁当で保守を担っています。ですが、攻撃側がAIを使ってより巧妙かつ大規模な手口を仕掛けてくる時代になった今、個々のプロジェクトのボランティアだけで対応し続けるのは、現実的に難しくなりつつあるのが実情です。

Akritesとは？異例の規模で集まった業界連合

Akritesは、Linux FoundationとOpen Source Security Foundation（OpenSSF）が主導し、2026年6月末に立ち上げられた業界連合による取り組みです。参加メンバーの顔ぶれが、この取り組みの本気度を物語っています。フロンティアAIラボからはAnthropicとOpenAI、クラウド・テクノロジー大手からはAmazon Web Services、Cisco、Google、Microsoft、GitHub、IBM、Red Hat、NVIDIA、さらにサイバーセキュリティ企業のChainguardやEndor Labs、Zscaler、そしてCiti、JPMorganChase、Ericsson、Vodafoneといった大手エンタープライズまで、20組織以上が名を連ねています。

参加企業には、1人から10人のエンジニアをプロジェクトへ提供することが求められ、Associate・General・Premierという3段階の会員ティアに応じた会費を支払う仕組みになっています。単なる資金提供にとどまらず、実際に人材を持ち寄って共同作業を行うという点が、この連合の特徴と言えるでしょう。

実は、目指すゴールは2つに絞られている

Linux Foundationが発表したAkritesの主要ミッションは、大きく2つです。1つ目は、オープンソースのパッケージやライブラリに見つかった脆弱性を緩和・修復するための、共有インシデント対応チーム（SIRT）の設立。2つ目は、機密性優先の原則と業界標準ツールに基づいた、標準化された協調的脆弱性開示（CVD）プロセスの開発です。これまで各プロジェクトがバラバラに対応してきた脆弱性対応の枠組みを、業界横断で標準化しようという狙いがうかがえます。

• 💡参加企業は人材と会費の両面でコミットする仕組みになっている
• ✅2026年9月からの運用開始で、具体的な成果は今後明らかになっていく段階
• 👍競合するはずのAI企業・テック企業が共通の課題に対して協調している

オープンソースを利用する開発者として、今できること

Akritesのような業界の取り組みが動き出す一方で、私たち一人ひとりも、依存しているパッケージやライブラリの管理に日頃から気を配っておくことが大切です。GitHub上のプロジェクトを扱う機会が多い人は、GitHub・Gitの実践入門書籍で基本的な確認習慣を身につけておくと安心です。Linux環境全般の理解を深めたい人は、Linux入門書籍も併せておすすめです。

また、AIを悪用した攻撃が今後どのように高度化していくのか、その背景にある技術を理解しておくことも、こうしたセキュリティ動向を読み解くうえで役立ちます。AI・生成AI入門書籍で基礎知識を整理しておくとよいでしょう。

まとめ

Akritesは、AIを悪用したサイバー脅威という新たな課題に対し、普段は競合関係にあるはずの企業までもが手を組んだ、異例の規模の業界連合です。2026年9月からの本格運用を経て、オープンソースソフトウェアの脆弱性対応がどこまで効率化されるのか、今後の動向に注目したいところです。個々の開発者としても、こうした業界全体の取り組みと合わせて、自分自身の依存関係の管理を怠らないようにしておきましょう。

※本記事の情報は2026年9月3日時点の報道に基づくものです。最新の運用状況は、Linux Foundation公式の発表でご確認ください。