Bezpieczeństwo4 lis 2026, 21:30 UTC·1 min czytania

Project Canopy uruchamia hub wywiadu o podatnościach open source

Koreańska inicjatywa Project Canopy uruchomiła platformę, która pozwala partnerom na bieżąco śledzić luki w oprogramowaniu open source, ocenę ryzyka i oficjalne poprawki.

Security dashboard showing vulnerability risk scores and patch status for open-source software projects — Zdjęcie: zdnet.co.kr

Project Canopy, inicjatywa non-profit poświęcona bezpieczeństwu AI, prowadzona przez stowarzyszenie Project Plasma, uruchomiła platformę „Vulnerability Intelligence Hub”. Poinformowano o tym 3 listopada. Hub zbiera w jednym miejscu podatności zweryfikowane przez zespół badawczy, wskaźniki ryzyka CVSS, EPSS i KEV oraz oficjalne poprawki i biuletyny bezpieczeństwa (advisory).

Z platformy mogą korzystać instytucje i firmy uczestniczące w projekcie. Na bieżąco sprawdzą one, które luki w oprogramowaniu open source dotyczą ich systemów i na jakim etapie jest wdrażanie poprawek. Dzięki temu mogą reagować, zanim dojdzie do ataku.

Odpowiedź na ataki wspierane przez AI

Twórcy projektu wskazują, że atakujący coraz szybciej wykorzystują zaawansowaną sztuczną inteligencję do wyszukiwania i wykorzystywania słabych punktów. Canopy łączy więc ofensywne techniki bezpieczeństwa oparte na AI z ochroną open source i infrastruktury, od której zależą administracja państwowa i usługi publiczne.

Zespół analizował m.in. eGovFRAME, fundament koreańskich usług publicznych, a także Spring Framework/Boot, Docker, LiteLLM, Grafanę, Istio, libdb i python.org. Badacze znaleźli wiele kandydatów na podatności i przygotowali dla nich dowody koncepcji (PoC). Zgłoszenia, także te o wysokim ryzyku, trafiały kolejno do opiekunów projektów. Część kluczowych poprawek już wdrożono. Pozostałe zostaną ujawnione zgodnie z zasadami skoordynowanego ujawniania podatności (CVD), wraz z publikacją oficjalnych łatek.

Partnerzy wskazują cele analiz

Canopy wprowadza model oparty na zapotrzebowaniu: partnerzy sami zgłaszają oprogramowanie do zbadania. Zespół ocenia wnioski według liczby użytkowników, występowania „białych plam” (zdolność do wdrażania poprawek, historia incydentów) oraz znaczenia społecznego, a następnie ustala kolejność prac.

W planach jest rozszerzanie sieci współpracy poza samorządy i instytucje publiczne, na ochronę zdrowia i edukację, którym brakuje budżetów i specjalistów. Dołączyć może każda zainteresowana instytucja lub firma.

Przewodniczący projektu Park Se-jun podkreślił, że skoro atakujący działają w tempie AI, obrońcy również muszą wcześniej wykorzystywać AI, by eliminować zagrożenia.