IBM ja Red Hat käivitavad Project Lightwell — kaubandusliku avatud lähtekoodiga kaitsesüsteemi, millel on tehisintellekt ja 20 000 inseneri

IBM ja Red Hat kuulutasid välja algatuse Project Lightwell, mille raames plaanivad ettevõtted investeerida 5 miljardit dollarit avatud lähtekoodiga tarkvara ja tarkvarade pakkumise kaitsmisse. Projekt esitatakse kui "usaldusväärne koordineerimiskeskus" avatud lähtekoodiga komponentides esinevate haavatavuste leidmiseks, kontrollimiseks ja parandamiseks, mida kasutavad äritellijad.

Sisu Project Lightwell — laiendada Red Hati tuttavat äri avatava lähtekoodiga toe mudelit oma toodetest väljapoole. Kui varem testis, allkirjastas, tarnis ja edastas ettevõte peamiselt oma platvormide komponente, siis nüüd soovitakse seda lähenemist rakendada laiemale sõltuvuste hulgale: sõltumatutele raamatukogudele, programmeerimiskeeltesse, AI-raamistikele ja andmevoogude töötlemise platvormidele.

IBM ja Red Hati plaani kohaselt saavad äritellijad teatada avastatud turvaprobleemidest konkreetsete versioonide kasutatavas tarkvaras, saada kinnitatud parandusi ja integreerida need oma olemasolevatesse ehitamise ja tarnimise ahelatesse. Red Hat rõhutab, et tellijad saavad suunata oma ehitusvahendid, sealhulgas Artifactory, Nexus või Maven, Red Hati kaitstud registrisse; pärast seda skaneerib, tagasiportib, testib, allkirjastab ja tarnib ettevõte parandatud artefakte kinnitatud pakettide versioonide jaoks.

Project Lightwell pakub kaubanduslikku tellimust. Reutersi teatel, IBM Software'i vanemasepresident Rob Thomas ütleb, et teenus peaks olema kaubanduslikult kergesti kätte saadav "järgmise 30 päeva jooksul", ja hind sõltub ilmselt kasutatavate paketide arvust. IBM-i sõnul saavad kliendid mingi kinnituse clearinghouse'ilt, et nende avatud lähtekoodiga komponendid on tootmises ohutud.

Projektis osaleb üle 20 000 inseneri IBM-ist ja Red Hati, samuti tehisintellekti rakendamine haavatavuste massiliseks analüüsimiseks, sorteerimiseks, prioriseerimiseks ja paranduste kontrollimiseks. Red Hat rõhutab, et AI-d peetakse andmete esialgse töötlemise kiirendamise tööriistaks, samas kui kriitilised otsused peavad jääma inseneride kanda, kes mõistavad upstream-arenduse konteksti, tagasipöördumiste ühilduvust ja vastutustundliku haavatavuste avalikustamise praktikaid.

Project Lightwell'i esimesed osalised olid suured finantsasutused, sealhulgas Bank of America, BNY, Citi, Goldman Sachs, JPMorganChase, Mastercard, Morgan Stanley, Royal Bank of Canada, State Street, Visa ja Wells Fargo. Nendes rakendustes plaanib IBM ja Red Hat harjutada nõrkuste avastamise, kontrollimise ja kõrvaldamise protsesse keerulistes tarkvaratoote tarneahelates.

IBM rõhutab eraldi probleemi ulatust: ettevõte kasutab ise rohkem kui 62 tuhat avatud lähtekoodiga paketti ja väidab, et omab sügavat ekspertteadmist enam kui 10 tuhande kohta. Näidetena valdkondadest, kus IBM ja Red Hat on juba kompetentsi kogunud, tuuakse esile Linux, Java, Kubernetes, Kafka, Ansible, Terraform, Flink ja Cassandra.

Fakt tegelikult on, et Project Lightwell näeb välja nagu katse muuta avatud lähtekoodiga sõltuvuste toetamine ja kontrollimine eraldi ettevõtte tooteeks. Ühendusele on oluline küsimus, kui kiiresti parandused tegelikult upstream'i jõuavad ja ei jää IBM'i/Red Hat'i tasulisse süsteemi. Projekti ametlikus kirjelduses lubavad ettevõtted samal ajal pakkuda kinnitatud parandusi klientidele ja edastada plaastrid avatud projektidesse vastutustundliku avalikustamise protseduuri kaudu.

Allikas: linux.org.ru