【KubeCon Japan 2026】LFの新プロジェクトAkritesの概要をJim Zemlinの解説から紹介

KubeCon＋CloudNativeCon Japan 2026から、LFが発表したAkritesというプロジェクトの概要を解説するセッションからその内容を紹介する。セッションを担ったのは、The Linux FoundationのCEOであるJim Zemlin氏である。これはKubeCon Japan 2026の初日のキーノートセッションの直後に行われたプレスカンファレンスで、日本語のスライド、英語によるプレゼンテーションという形式のものとなった。

プレスカンファレンスに登場したLFのCEO、Jim Zemlin氏

Zemlin氏のプレゼンテーションはLF/CNCFの哲学のコアとなる「オープンなソフトウェア開発が最良の方法＝オープンモデル」と「Akrites」という新しいプロジェクトを並べてタイトルにした内容となった。

生成AIによる多大なインフラへの投資が過去最大規模になったことを示す

このスライドでは生成AIの登場によって、ITへの設備投資が過去最大になったことを示して、生成AIが社会のインフラストラクチャーとして最大の変革を起こしていることを説明した。

IT設備のあらゆるレイヤーでオープンソースが稼働している

このスライドではITインフラストラクチャーのあらゆるレイヤーでオープンソースが使われていることを説明。ここでは生成AIにフォーカスしてインフラストラクチャーとしてLinuxとKubernetes、コンテナランタイムのContainerd、そして機械学習のバッチジョブをスケジューリングするVolcanoなどが例として挙げられている。モデルの学習にはPyTorch、DeepSpeed、Rayなど、推論にはvLLM、llm-d、モデルにはLlama、Qwen、DeepSeek、GLM、Kimi、Mistral、そしてエージェントのレイヤーにはMCP、A2A、x402、AGENTS.md、Gooseなどが列挙されている。

大規模言語モデルもクローズドの性能にオープンモデルが迫っていることを示す

ここではOpenAIやAnthropicなどのクローズドのフロンティアモデルの性能にオープンなモデルが追いつくためにはこれまでは数年かかっていたものが、数か月で追いつくようになったことを示して、まだクローズドなモデルに優位性はあるもののその差は小さくなっていると説明した。

ここからはオープンソース、オープンウェイトのモデルが日本市場において重要であることを解説する内容となった。

オープンソース・オープンウェイトが日本にとって重要な意味を解説

ここではオープンソース、オープンウェイトが重要であることの前提として、パブリックなサービスとしての大規模言語モデル利用ではなくモデルを自社のインフラストラクチャーに実装することが必須となっていることに注目したい。これはLF/CNCFのスピーカーが近年、常に訴求しているポイントである。この前提があるからこそ、コストがクローズドのサービスに対して1/6以下になることという訴求ポイントがリアリティを持ってくる。スライドではデジタル主権と企業が持つデータを活用することで専門性が高まること、低コストを訴えている。特に製造業が強かった日本の産業界に対する賞賛のように見える「現場データ」が差別化とされていることにも注目だろう。なお現場が持つ非定型なデータをどうやって大規模言語モデルで「誤りなく」活用するのか？ これについてはここでは解説されることはなかった。

ここからは生成AIの影の部分を解説

ここまで、生成AIと大規模言語モデルの良い面だけを訴えてきたZemlin氏だったが、ここからは同じテクノロジーを悪い意図を持ったアクターが脆弱性を使ってIT資産を攻撃するまでの時間差、つまり脆弱性発見から公表→修正→展開までの間にその脆弱性が悪用されるまでの時間が、2019年の63日から2023年には5日、2026年ではマイナス7日と劇的に減少していることを示した。これは情報公開からパッチが開発されて企業において適用される前の時点で、すでにアクターによって攻撃に利用されていることを示している。つまり生成AIの素早くコードを書くという高い能力が、悪い方向に使われているということを強調した内容だ。

この時間差を解消する努力がAkrites

ここからが今回の本題だ。AkritesはLFが2026年6月25日に発表した業界を横断するオープンソースプロジェクトの見張り役として創設されたプロジェクトになる。

Akritesの概要は業界をリードする企業が集まり重要なオープンソースに対する脆弱性対策を調整する窓口になるという機能を果たすプロジェクトだ。具体的には参加する企業がエンジニアを供出し、共同のセキュリティインシデント対応チームを構成、その上ですでに存在する脆弱性発見のための組織（Glasswing、MITRE/CVE、Lightwell、FIRST）と連携するための調整機能を果たすプロジェクトになる。これによって脆弱性が多重にプロジェクトのメンテナーに殺到することを防ぎ、メインテナンスを行う人員が少ないプロジェクトを助けることを目的にしている。

この原稿を書いている2026年8月後半現在では、Akritesが脆弱性開示と修復に対する機能はツールの実装が終わっておらず予定としては2026年9月を目標としているようだ。また組織としてはOpenSSFのChristopher "CRob" Robinson 氏がCTOとして就任し、指揮を執っているということになる。

このプロジェクトに企業が参加する点について解説を行う。まずは参加するためにはLFのメンバーであることが前提となる。その上で当然だが、会費だけではなくインシデントに対応するための組織、SIRT（Security Incident Response Team）に対するエンジニアの供出などが必要となる。

この組織が助けるコミュニティ側にとっては、生成AIによって洪水のように押し寄せる脆弱性レポートの重複が排除され、信頼できるAkritesのSIRTからの報告を待つだけで良くなる。この利益を受けるためにAkritesに参加する必要はなく、Akritesから重要なプロジェクトと認定される必要があるだけだ。

しかしながら良い面ばかりではない。重要なプロジェクトだと認定するのはAkritesのPremier会員によって指名された人材で構成されるガバニングボード（統治理事会）だ。そしてそのプロジェクトに貢献するメンテナーの数が少ないと判断されれば、Akritesが積極的に介入するということになる。メンテナー不足に悩むプロジェクトにとってはありがたいヘルプだが、具体的に誰が何をするのか？ これについてはまだ未実装であるため、これからその成果が現れてくるというところだろう。

Akritesの参加メンバーにはAWS、Anthropic、Chainguard、Cisco、Citi、Endor Labs、Ericsson、Google、IBM、JPMorganChase、Microsoft/GitHub、NVIDIA、OpenAI、RapidFort、Red Hat、Rust Foundation、Sonatype、Vodafone、Zscalerなどが並び、IT業界だけに限らず金融、テレコムまでカバーしていることがわかる。一方、他のオープンソース財団ではRust Foundationだけが参加している。ビッグデータ系プロジェクトの総本山、The Apache Software FoundationもEclipse Foundationも未参加である。その理由としてはLFのメンバーになる必要があることと、財団としては参加しなくても配下のプロジェクトが利益を受けられるなら別途参加する理由が乏しいといったところだろう。あくまでもAkritesは企業がクリティカルなオープンソースプロジェクトのPSIRT（プロダクトSIRT）を肩代わりするという性格を持つため、SIRTの役割自体を財団側に持たずプロジェクトに任せているのであれば、財団そのものが積極的に関与する必要はないと思われる。また困窮するメンテナーに直接金銭的な支援を行うべきだという意見も存在する。これが実際にはボランティアベースのメンテナーの本心だろう。この声にはAkritesは直接応えることはしていない。

より詳細なアップデートが公開されるのは、2026年10月にプラハで開催されるOpen Source Summit EUだろう。そこでプロジェクトの詳細な設計、実施のためのコストや人員配置、パイロットプロジェクトでの成果などが公開されることを願うしかない。脆弱性の洪水で苦労しているオープンソースプロジェクトを支援するAkritesが今後、どのように進展していくのか、注視していきたい。