Aikido收购Root，实现开源软件无需强制升级的漏洞修复

比利时网络安全公司Aikido Security于近日宣布，已完成对Root.io的收购。Root.io专注于为企业正在运行的开源软件版本提供漏洞修复服务，无需强制升级。

Root.io的前身是2020年成立的Slim.AI，最初以一款名为Slim Toolkit的开源容器工具著称。随着公司技术重心从压缩容器镜像转向保护容器安全，公司去年完成品牌重塑并更名为Root。

Root的核心产品被称为"智能体漏洞修复方案"。当新漏洞被披露后，多个专业AI智能体将协同完成漏洞研究、补丁编写、测试与交付，整个过程仅需约15至40分钟，而人工处理通常需要数周时间。修复补丁将直接应用于企业当前运行的容器镜像和软件依赖项，不会触发重新构建或版本迁移。

值得注意的是，超过五分之四的修复案例中，Root无需对代码做任何改动，仅需人工审查员审核签字，而不必亲自编写补丁。以数据安全公司BigID为例，在不更换其基于Debian和Ubuntu的技术栈的前提下，Root帮助其在两周内清除了六个生产镜像中逾1000个漏洞，其中超过300个被评级为高危或严重级别。

对Aikido而言，Root技术的吸引力在于它能绕开传统漏洞响应中的两难困境。将依赖包升级至新版本可能导致应用崩溃，甚至引入新的恶意软件；迁移至厂商的封闭替代方案则只是换了一种依赖关系。Root的补丁将被集成进Aikido平台，作为名为"Aikido Libraries"的新功能上线，其核心优势在于精准修复特定漏洞，不引发完整版本升级带来的兼容性问题。据介绍，该技术每天可生成数百个经过验证的补丁。

Aikido联合创始人兼首席执行官Willem Delbare表示："开源软件需要快速修复漏洞。目前市面上只有两种选择，而这两种对大多数公司来说都行不通：要么升级版本，很可能导致应用崩溃；要么迁移至厂商的封闭替代方案。借助Root，我们可以直接针对团队实际运行的代码进行修复，每天生成数百个经过验证的补丁，无需升级、无需迁移、无破坏性变更。这才是真正意义上解决软件供应链安全问题的方式，而不只是服务于少数精英。"

Root在被收购前共融资3760万美元，其中包括2022年由Insight Partners和StepStone Group联合领投的3100万美元A轮融资。Gartner今年已将Root列入自动化漏洞修复领域的新兴厂商名单。

Aikido还表示，将在此次收购的基础上，免费向更广泛的社区回传针对严重且已被积极利用的开源漏洞的修复补丁，并将这些补丁贡献至相应开源项目的上游仓库，而非将其锁定在付费墙后。

此次收购是Aikido近期密集并购行动的最新一笔。2025年以来，Aikido已先后收购AI代码审查初创公司Trag，以及自主渗透测试公司Allseek BV和Haicker SA。今年1月，Aikido完成6000万美元B轮融资，估值达10亿美元，成为欧洲史上最快晋升独角兽的网络安全公司。目前，Aikido平台的用户已超过10万个团队，包括英超联赛、Revolut和SoundCloud等知名客户。

Q&A

Q1：Aikido收购Root.io的核心目的是什么？

A：Aikido收购Root.io，主要是为了解决开源软件漏洞修复中的两难困境。传统方式要么升级版本导致应用崩溃，要么迁移至封闭替代方案。Root的技术可以直接针对企业当前运行的代码版本生成补丁，无需升级、无需迁移，每天可产出数百个经过验证的修复补丁，并将以"Aikido Libraries"功能集成进Aikido平台。

Q2：Root的智能体漏洞修复方案具体是怎么运作的？

A：当新漏洞被公开披露后，Root会调度多个专业AI智能体协同完成漏洞研究、补丁编写、测试与交付，整个流程仅需15至40分钟。超过五分之四的情况下无需修改代码，只需人工审查员审核确认即可。补丁直接应用于企业现有的容器镜像和软件依赖项，不触发重建或版本迁移。

Q3：Aikido Libraries对开源社区有什么贡献？

A：Aikido表示，除商业服务外，还将免费向开源社区回传针对严重且已被积极利用漏洞的修复补丁，并将这些补丁贡献至对应开源项目的上游代码仓库，而非将其锁定在付费墙后，旨在提升整个开源生态的安全水平。