AikidoがNode.jsセキュリティ支援のためOpenJS財団のプログラムに参画

【なぜ重要か】 AIの普及により脆弱性の発見・報告は容易になった一方、トリアージや修正対応は追いついておらず、バグバウンティプログラムの崩壊が世界的に進んでいる。Node.jsを含むJavaScriptエコシステムは週間npmダウンロード数が他のレジストリを圧倒しており、そのすべてが攻撃対象となり得る。少人数のボランティアを中心とするオープンソースメンテナーへの支援は、サプライチェーンセキュリティ全体に直結する問題である。

【ポイント】

• AikidoはOpenJS財団のSecurity Stewardship Program（SSP）に創設パートナーとして参加し、バグバウンティ報奨金とメンテナー支援に均等に分配される資金プールに出資する（初期対象はNode.js）
• SSPは脆弱性の発見から修正までを包括的に支援し、OpenJSがCVE採番機関（CNA）であることから、メンテナーが自力でCVE取得や開示タイムラインを調整する必要がなくなる
• AIが生成する低品質な脆弱性レポートの急増により、Node.jsは独自のバグバウンティプログラムを廃止済みであり、curlやGitHubも同様の問題に直面している
• Aikidoはすでにオープンソース支援の実績があり、DrydockパートナーシップによるリリースのSBOM可視化や、Packagist向けComposerに組み込まれたAikido Intelのマルウェアブロッキングフィード（CC-BYライセンス）を提供している
• SSPへの参加により、Aikidoは個別の脆弱性対応にとどまらず、エコシステム全体を構造的に侵害しにくくするという方針を実践する

【まとめ】 AikidoはOpenJS SSPへの資金提供を通じ、Node.jsのセキュリティを研究者・メンテナー双方の面から持続的に支える体制づくりに貢献する。参加に関心のある組織はOpenJS財団に問い合わせることでSSPパートナーとして加わることができる。