IBM и Red Hat стартират Project Lightwell — търговска услуга за защита на отворен код с ИИ и 20 хиляди инженери

IBM и Red Hat обявиха за старта на инициатива Project Lightwell, в рамките на която компаниите планират да инвестират 5 милиарда долара в защита на отвореното софтуерно осигуряване и веригите за доставка на софтуер. Проектът е представен като „доверен център за координация“ за откриване, проверка и поправяне на уязвимости в компонентите с отворен код, използвани от корпоративни клиенти.

Същност Project Lightwell — да разширят познатия модел за поддръжка на корпоративен отворен код извън собствените си продукти. Ако преди компанията тестираше, подпечатваше, доставяше и изпращаше корекции основно за компонентите на своите платформи, сега този подход искат да приложат към по-широк набор от зависимости: независими библиотеки, езикови инструменти, AI-фреймворкове и платформи за потокова обработка на данни.

Според замисъла на IBM и Red Hat, корпоративните клиенти ще могат да докладват за открити проблеми със сигурността в конкретни версии на използваното софтуерно осигуряване, да получават проверени корекции и да ги интегрират в своите съществуващи вериги за компилация и доставка. Red Hat подчертава, че клиентите ще могат да насочват своите инструменти за компилация, включително Artifactory, Nexus или Maven, към защитен реестр на Red Hat; след това компанията ще сканира, бэкпортва, тестира, подписва и доставя коригирани артефакти за определените версии на пакети.

Project Lightwell ще бъде предлаган като комерсиална подписка. Reuters, цитирайки старшия вицепрезидент на IBM Software Роб Томас, пише, че услугата трябва да стане търговски достъпна „в рамките на следващите 30 дни“, а цената вероятно ще зависи от броя на използваните пакети. Според IBM, клиентите ще могат да получават вид потвърждение от clearinghouse, че техните компоненти с отворен код са безопасни за използване в производствени условия.

В проекта участват над 20 хиляди инженери от IBM и Red Hat, както и използване на ИИ за масов анализ на уязвимости, сортиране, приоритизиране и проверка на корекции. В същото време Red Hat подчертава, че ИИ се разглежда като инструмент за ускоряване на първоначалната обработка на данни, а критичните решения трябва да остават в ръцете на инженери с разбиране на контекста на разработването на upstream, съвместимостта на бэкпортовете и процедурите за отговорно разкриване на уязвимости.

Първоначалните участници в Project Lightwell бяха големи финансови организации, включително Bank of America, BNY, Citi, Goldman Sachs, JPMorganChase, Mastercard, Morgan Stanley, Royal Bank of Canada, State Street, Visa и Wells Fargo. При тези внедрения IBM и Red Hat планират да отработват процесите за откриване, проверка и отстраняване на уязвимости в сложни производствени вериги за доставки на софтуер.

Отделно IBM подчертава мащаба на проблема: компанията сама използва повече от 62 хиляди open source пакета и заявява за дълбоката експертиза по повече от 10 хиляди от тях. Като примери за области, в които IBM и Red Hat вече имат натрупана компетенция, се споменават Linux, Java, Kubernetes, Kafka, Ansible, Terraform, Flink и Cassandra.

Всъщност Project Lightwell изглежда като опит да се превърне поддръжката и проверката на open source зависимости в отделен корпоративен продукт. За общността важен въпрос ще бъде доколко поправките наистина бързо ще бъдат прехвърляни в upstream, а не да остават вътре в платения контур на IBM/Red Hat. В официалното описание на проекта, компаниите обещават едновременно да предоставят проверени поправки на своите клиенти и да предават пачове на отворените проекти чрез процедура за отговорно разкриване.

Източник: linux.org.ru