IBM и Red Hat стартират Project Lightwell, комерсиална услуга за сигурност с отворен код, задвижвана от изкуствен интелект и 20 000 инженери.

IBM и Red Hat обявиха стартирането на инициатива Проект Лайтвел, в рамките на който компаниите възнамеряват да инвестират 5 милиарда долара в защита на софтуер с отворен код и веригите за доставки на софтуер. Проектът е представен като „доверен координационен център“ за идентифициране, проверка и отстраняване на уязвимости в компоненти с отворен код, използвани от корпоративни клиенти.

сърце Проект Лайтвел — да разширят установения модел на Red Hat за корпоративна поддръжка на отворен код отвъд собствените ѝ продукти. Докато компанията преди това е тествала, подписвала, доставяла и изпращала пачове нагоре по веригата предимно за компоненти на собствените си платформи, сега те искат да приложат този подход към по-широк набор от зависимости: независими библиотеки, езикови инструменти, рамки за изкуствен интелект и платформи за обработка на стрийминг на данни.

IBM и Red Hat планират да позволят на корпоративните клиенти да докладват за проблеми със сигурността, открити в специфични версии на техния софтуер, да получават проверени поправки и да ги интегрират в съществуващите си вериги за изграждане и доставка. Red Hat изрично заявява, че клиентите ще могат да изпращат своите инструменти за изграждане, включително Artifactory, Nexus или Maven, до защитения регистър на Red Hat; след това компанията ще сканира, ще пренесе обратно, ще тества, ще подписва и ще доставя фиксирани артефакти за определените версии на пакета.

Проектът Lightwell ще бъде предлаган като търговски абонамент. Ройтерс с препратка В изявление на старши вицепрезидента на IBM Software Роб Томас се посочва, че се очаква услугата да стане комерсиално достъпна „в рамките на следващите 30 дни“, като ценообразуването вероятно ще зависи от броя на използваните пакети. Според IBM клиентите ще могат да получат форма на гаранция, че техните компоненти с отворен код са безопасни за производствена употреба.

Проектът е обявил участието на повече от 20 хиляди инженери IBM и Red Hat, както и използването на изкуствен интелект за масов анализ на уязвимости, триаж, приоритизиране и валидиране на корекции. Red Hat подчертава, че изкуственият интелект се разглежда като инструмент за ускоряване на първоначалната обработка на данни, докато критичните решения трябва да останат на инженерите, които разбират контекста на разработката нагоре по веригата, съвместимостта с backport и отговорните процедури за разкриване на уязвимости.

Първите участници в проект „Лайтвел“ бяха големи финансови институции, включително Bank of America, BNY, Citi, Goldman Sachs, JPMorganChase, Mastercard, Morgan Stanley, Royal Bank of Canada, State Street, Visa и Wells FargoС тези внедрявания IBM и Red Hat възнамеряват да практикуват процеси за идентифициране, проверка и отстраняване на уязвимости в сложни вериги за доставки на софтуер.

IBM отделно подчертава мащаба на проблема: самата компания използва повече 62 хиляди пакета с отворен код и твърди, че има задълбочени познания в повече от 10 хиляди от тях. Примери за области, в които IBM и Red Hat вече са натрупали експертен опит, включват Linux, Java, Kubernetes, Kafka, Ansible, Terraform, Flink и Cassandra.

Проектът Lightwell по същество изглежда като опит за превръщане на поддръжката и проверката на зависимостите с отворен код в самостоятелен корпоративен продукт. Ключов въпрос за общността ще бъде колко бързо корекциите наистина ще бъдат внедрявани, вместо да останат в платената рамка на IBM/Red Hat. В официалното описание на проекта компаниите обещават едновременно да предоставят проверени корекции на клиентите и да допринасят с пачове за проекти с отворен код чрез отговорен процес на разкриване на информация.

Източник: linux.org.ru