Chainguardは、オープンソースの脆弱性情報を集約し、公開前のエンバーゴ期間中に修正を施す業界連合「アテナ（Athena）」を立ち上げました。発足時点で20を超える組織が参加しており、創設メンバーにはBNY、Chainguard、Cisco、Cloudflare、Corridor、DepthFirst、Docker、JPMorganChase、Kyndryl、LTIMindtree、PwCが名を連ねています。
ChainguardのCEOであるDan Lorenc氏は、単独の企業では脅威に太刀打ちできないとし、業界が連携した防御こそが答えだと語っています。発足にあたってのコメントの中で、同氏は次のように述べています。「アテナは稼働中です。2万件超の知見を処理し、500のプロジェクトに2,000件のパッチを適用し、約1か月で最初の協調開示を実施しました。完璧かと言われれば、そうではありません。それは誰もが認めるべき事実です。しかし、バラバラに動くことはさらに悪く、現状維持では生き残れません。業界の参加者が増えるほど、攻撃者が見つけられる隙間は少なくなります。」
脆弱性発見サイクルの加速
アテナが解決を目指すのは、フロンティアAIモデルが生み出した問題です。これらのシステムはコードを読み込み、依存関係を横断して推論し、専門家による長年のレビューをすり抜けてきた脆弱性も含め、機械の速度で新たな連鎖型ゼロデイ脆弱性を次々と発見します。
ある事例では、多くのアプリケーションが使用するメディア処理コードに重大なバグが潜んでいましたが、自動ファジングツールが500万回以上実行しても発見できずにいました。脆弱性が発見されてから悪用されるまでの時間は、かつての「数年」から「数時間」へと劇的に短縮されており、バグが公開される前に悪用コードが武器化されるケースも増えています。こうしたソフトウェアの基盤となるコードの多くは、低品質なスキャナーのアラートに埋もれた1〜2人のボランティアによって維持されているのが実情です。
連合の多くの参加メンバーは、AnthropicのProject GlasswingやOpenAIのDaybreakといったフロンティアAIプログラムを通じてこれらの脆弱性を発見し、その成果をアテナに持ち込んでいます。
アテナのパイプライン
アテナは、脆弱性の発見から恒久的な上流修正までのライフサイクル全体を一元管理する共有プラットフォームを運営しています。各組織は暗号化されたポータルを通じて公開前の知見を提出でき、何を、誰と、どのエンバーゴ期間で共有するかは提出者が設定します。アテナは各知見の重複を排除して情報を充実させ、欠陥が導入された時期や最新のコードで修正済みかどうかを追跡し、そのメタデータをOSVフィードとして公開します。メンバーは提出者をまたいだ匿名・集約済みのインテリジェンスを受け取るとともに、公開開示に先立ってパッチ適用済みビルドにアクセスできます。
開示前には、Chainguard Librariesを通じてプライベートフォークや強化済みビルドがメンバーに提供されます。知見はライブラリ全体に対してまとめて対処され、特定の問題クラス全体に対する堅牢化が図られます。また、修正を最新の状態に保つため、エンバーゴ期間中も上流の活動と照合が継続的に行われます。
アテナはさらに多層的な保護も提供します。インフラ・プラットフォーム・ネットワーク・セキュリティ各レイヤーを運営するパートナーが、開示前にパッチ以外の緩和策（検出シグネチャ、トラフィックレベルのルール、プラットフォーム側のブロックなど）を展開します。サイバーセキュリティパートナーも独自の検出ルール、シグネチャ、仮想パッチを追加します。連合は上流への協調開示を推進し、ボランティアのメンテナーに修正が届かない場合は、アテナが最終手段としてメンテナーの役割を担います。ChainguardはLinux Foundationと協力し、オープンソース向けの協調型セキュリティインシデント対応チーム（SIRT）の設立を目指しています。
迅速なパッチ適用が困難な組織への保護
アテナの活動の多くは、設計上、外部から見えない形で行われます。パッチはそれを適用できるシステムにしか効果がなく、世界の重要インフラの多くは攻撃者のスピードに合わせてパッチを当てることができません。アテナのプラットフォームレベルの緩和策は、公開開示の前にインターネット全体で脆弱性を無力化することを目的としています。
大手テクノロジー企業の内部で動いているのと同じオープンソースライブラリが、専任のセキュリティ担当者がほとんどいない地方の水道システムや地域の病院でも動いています。そうした組織は、何も対応しなくても保護を受けられます。
メンバーシップと利用方法
アテナへの参加は、審査を経た組織を対象に申請プロセスを通じて受け付けています。メンバーは自分の知見を管理でき、非公開のまま保持する、連合内の信頼できる一部と共有する、全員に公開するといった選択が可能です。来月予定されている最初の協調開示の波の前に参加した組織は、そのエンバーゴ期間中の保護対象となります。
