L’IA a changé les règles du jeu pour la sécurité des logiciels open source. Trouver une faille critique dans une bibliothèque majeure prenait des semaines à un expert humain. Aujourd’hui, une machine y arrive en quelques minutes, et ressort souvent plusieurs vulnérabilités en un seul passage. Face à ce constat, un groupe de poids lourds de la tech a décidé d’agir ensemble.
Akrites : la plus grande coordination de l’histoire autour de la sécurité open source
Le 25 juin 2026, une lettre ouverte a été publiée sur akrites.org sous le titre « We All Depend on Open Source. We Will Defend It Together ». Elle annonce le lancement d’Akrites, présenté comme le plus grand effort coordonné jamais mis en place pour détecter, corriger et divulguer de façon responsable les vulnérabilités dans les logiciels open source critiques.
Les signataires sont loin d’être anonymes : Amazon Web Services, Anthropic, Chainguard, Cisco, Citi, Endor Labs, Ericsson, Google, IBM, JPMorganChase, Microsoft et GitHub, NVIDIA, OpenAI, RapidFort, Red Hat, Rust Foundation, Sonatype, Vodafone et Zscaler. Plusieurs fondations majeures soutiennent également l’initiative : OpenSSF, CNCF, OpenJS Foundation, LF Energy, OpenInfra Foundation et PyTorch Foundation.
Pourquoi maintenant, et pourquoi c’est urgent
La lettre est directe : l’IA a brisé l’équilibre qui existait entre attaquants et défenseurs. Ce qui prenait des semaines à un chercheur humain prend désormais quelques minutes à un modèle. Et la même capacité qui permet de durcir le code peut être retournée contre lui.
La conséquence concrète est déjà visible. Selon Varun Badhwar, CEO d’Endor Labs et membre fondateur d’Akrites, sur les milliers de vulnérabilités open source validées ces derniers mois, moins de 5 % ont été corrigées. Les mainteneurs sont débordés, parfois injoignables, parfois absents depuis des années.
Le problème ne touche pas que les entreprises tech. Les bibliothèques open source font tourner des infrastructures bancaires, des réseaux de télécommunication, des réseaux électriques et des systèmes hospitaliers. Une faille non corrigée dans un paquet largement déployé est, selon les termes mêmes de la lettre, une arme.
Le modèle de coordination que propose Akrites
L’approche actuelle est chaotique : des dizaines d’entreprises scannent les mêmes bibliothèques de façon indépendante, envoient des rapports en doublon aux mainteneurs, parfois avec des correctifs contradictoires. Résultat : du bruit, de la confusion, et une fenêtre d’exposition prolongée.
Akrites propose un modèle différent, articulé autour de plusieurs principes :
- Une seule équipe SIRT partagée (Security Incident Response Team) pour coordonner la découverte, la remédiation et la divulgation.
- La confidentialité comme règle absolue : une faille non divulguée dans un paquet critique est traitée comme une arme, pas comme un rapport à publier rapidement.
- Le travail en amont : les correctifs sont intégrés directement dans les projets sources, en collaboration avec les mainteneurs, pas dans des forks ou des patches parallèles.
- La mesure du succès par le déploiement, pas par la publication : un patch publié sans être déployé ne protège personne, et permet aux attaquants de faire de la rétro-ingénierie sur la faille.
- Le mainteneur de dernier recours : quand un paquet critique n’a plus de mainteneur actif, Akrites s’engage à assumer ce rôle pour garantir que le correctif atteigne tout le monde.
Mark Russinovich, Azure CTO chez Microsoft, rappelle que l’initiative s’appuie sur l’expérience d’OpenSSF et d’Alpha-Omega, deux programmes qui ont déjà démontré ce que l’industrie peut accomplir en se coordonnant.
Ce que ça change concrètement pour les équipes sécurité
Pour les équipes qui gèrent des infrastructures basées sur des composants open source, les implications sont directes. Jusqu’ici, la chaîne de remédiation était lente et imprévisible : découverte fragmentée, divulgation publique prématurée, exploitation avant que les patches arrivent en production.
Si Akrites tient ses promesses, les correctifs devraient arriver plus vite, de façon coordonnée, et avant que les adversaires puissent exploiter les divulgations publiques pour développer des attaques. Chris Wright, CTO de Red Hat, résume bien l’enjeu : « défendre cette fondation exige une réponse coordonnée en amont, capable de faire face aux menaces à l’échelle ».
La participation de Vodafone et de Citi, acteurs de secteurs d’infrastructure critique, montre que l’initiative ne se limite pas à l’écosystème tech pur. Les opérateurs télécoms et les institutions financières ont compris qu’ils partagent la même exposition que les éditeurs de logiciels.
Ce qu’il faut retenir
- Akrites est une initiative lancée le 25 juin 2026, coordonnée par la Linux Foundation, avec plus de 20 organisations membres fondatrices issues de la tech, de la finance et des télécoms.
- L’IA a réduit le temps de découverte des vulnérabilités open source de plusieurs semaines à quelques minutes, rendant les modèles de coordination actuels obsolètes.
- Le projet repose sur une équipe SIRT partagée, la confidentialité des failles avant correction, et un travail en amont avec les mainteneurs.
- Le succès se mesure au déploiement effectif des patches, pas à leur publication.
- Moins de 5 % des vulnérabilités open source validées récemment ont été corrigées : la dette de remédiation est massive et le temps presse.
Si tu travailles sur la sécurité de ta supply chain logicielle ou que tu veux suivre l’évolution d’Akrites de près, n’hésite pas à échanger sur le sujet ou à suivre ce blog pour les prochaines analyses.
Sources
- Lettre ouverte Akrites, akrites.org, 25 juin 2026
- Google Open Source Blog, opensource.googleblog.com
- OpenSSF, openssf.org
- Cloud Native Computing Foundation, cncf.io
- Linux Foundation, linuxfoundation.org