IBM und Red Hat starten Project Lightwell, einen kommerziellen Open-Source-Sicherheitsdienst, der auf KI und 20 Ingenieuren basiert.

IBM und Red Hat haben den Start einer Initiative angekündigt Projekt Lightwell, in deren Rahmen die Unternehmen beabsichtigen zu investieren 5 Milliarden Zum Schutz von Open-Source-Software und Software-Lieferketten präsentiert sich das Projekt als „vertrauenswürdiges Koordinierungszentrum“ zur Identifizierung, Überprüfung und Behebung von Schwachstellen in Open-Source-Komponenten, die von Unternehmenskunden eingesetzt werden.

Substanz Projekt Lightwell — Red Hats etabliertes Modell der Unterstützung von Open-Source-Software über die eigenen Produkte hinaus ausweiten. Während das Unternehmen bisher hauptsächlich Komponenten seiner eigenen Plattformen testete, signierte, auslieferte und Patches an die Entwickler weiterleitete, möchte es diesen Ansatz nun auf ein breiteres Spektrum an Abhängigkeiten anwenden: unabhängige Bibliotheken, Sprachwerkzeugketten, KI-Frameworks und Plattformen zur Verarbeitung von Streaming-Daten.

IBM und Red Hat planen, Unternehmenskunden die Möglichkeit zu geben, Sicherheitslücken in bestimmten Softwareversionen zu melden, verifizierte Korrekturen zu erhalten und diese in ihre bestehenden Build- und Bereitstellungsprozesse zu integrieren. Red Hat gibt an, dass Kunden ihre Build-Tools, darunter Artifactory, Nexus oder Maven, in die sichere Red Hat-Registry eintragen können. Das Unternehmen scannt die betroffenen Versionen, portiert sie zurück, testet sie, signiert sie und liefert die korrigierten Artefakte für die zugewiesenen Paketversionen aus.

Das Projekt Lightwell wird angeboten als kommerzielles Abonnement. Reuters mit Bezug Laut einer Erklärung von Rob Thomas, Senior Vice President von IBM Software, wird der Service voraussichtlich innerhalb der nächsten 30 Tage kommerziell verfügbar sein. Die Preisgestaltung dürfte sich nach der Anzahl der genutzten Pakete richten. IBM zufolge erhalten Kunden damit eine Art Clearingstelle, die bestätigt, dass ihre Open-Source-Komponenten sicher für den Produktiveinsatz sind.

Das Projekt hat die Teilnahme von mehr als 20 Ingenieure IBM und Red Hat setzen KI ein, um Schwachstellen umfassend zu analysieren, zu priorisieren und Patches zu validieren. Red Hat betont, dass KI die erste Datenverarbeitung beschleunigt, kritische Entscheidungen jedoch weiterhin von Ingenieuren getroffen werden sollten, die den Kontext der Upstream-Entwicklung, die Backport-Kompatibilität und die Verfahren zur verantwortungsvollen Offenlegung von Schwachstellen verstehen.

Die ersten Teilnehmer am Projekt Lightwell waren große Finanzinstitute, darunter Bank of America, BNY, Citi, Goldman Sachs, JPMorgan Chase, Mastercard, Morgan Stanley, Royal Bank of Canada, State Street, Visa und Wells FargoMit diesen Implementierungen wollen IBM und Red Hat Prozesse zur Identifizierung, Überprüfung und Behebung von Schwachstellen in komplexen Software-Lieferketten erproben.

IBM hebt separat das Ausmaß des Problems hervor: Das Unternehmen selbst verwendet mehr 62 Open-Source-Pakete und beansprucht umfassende Expertise in mehr als 10 Tausend Beispiele für Bereiche, in denen IBM und Red Hat bereits Expertise gesammelt haben, sind: LinuxJava, Kubernetes, Kafka, Ansible, Terraform, Flink und Cassandra.

Project Lightwell wirkt im Wesentlichen wie der Versuch, die Wartung und Verifizierung von Open-Source-Abhängigkeiten in ein eigenständiges Unternehmensprodukt umzuwandeln. Eine zentrale Frage für die Community wird sein, wie schnell Fehlerbehebungen tatsächlich in die Open-Source-Projekte einfließen und nicht im kostenpflichtigen IBM/Red-Hat-Framework verbleiben. In der offiziellen Projektbeschreibung versprechen die Unternehmen, Kunden gleichzeitig verifizierte Korrekturen bereitzustellen und Patches über einen verantwortungsvollen Offenlegungsprozess zu Open-Source-Projekten beizutragen.

Source: linux.org.ru