IBM und Red Hat haben die Einführung von zwei kommerziellen Angeboten bekannt gegeben: Lightwell Network und Lightwell Clearinghouse Premier. Diese Dienste sind aus dem zuvor gestarteten „Project Lightwell“ hervorgegangen. Die Initiative ist mit 5 Milliarden US-Dollar und dem Einsatz von 20.000 Ingenieuren ausgestattet, um Open-Source-Software vor Sicherheitslücken zu schützen, die zunehmend durch Künstliche Intelligenz (KI) entdeckt und ausgenutzt werden.
Lightwell Network ist bereits allgemein verfügbar, während Lightwell Clearinghouse Premier sich in einer Phase begrenzter Einführung befindet. Ziel ist es, den Schutz von Unternehmenssoftware auf das gesamte Portfolio einer Organisation auszudehnen.
Herausforderung durch KI-gestützte Angriffe
Künstliche Intelligenz beschleunigt nicht nur die Softwareentwicklung, sondern ermöglicht es Angreifern auch, Sicherheitslücken – sogenannte Vulnerabilities – schneller zu finden und auszunutzen. Da Open-Source-Software in vielen Unternehmenssystemen zum Einsatz kommt, sei das traditionelle Patch-Management durch die schiere Menge an Software und die kostengünstigen, KI-generierten Exploits überfordert. Lightwell soll diesem Problem begegnen.
Funktionsweise und Angebote
Im Kern von Lightwell steht eine generative KI-gestützte Reparatur-Engine, die bereits im großen Maßstab eingesetzt wird. Diese Automatisierungspipeline kombiniert fortschrittliche KI-Modelle mit menschlicher Ingenieurkompetenz, um Schwachstellen in den Abhängigkeiten moderner Softwarearchitekturen zu identifizieren, zu validieren und zu beheben. Anstatt Unternehmen zu zwingen, ständig auf die neuesten Upstream-Versionen umzusteigen, nutzt Lightwell Automatisierung, um kritische Korrekturen direkt in die exakten, langlebigen Produktionssoftwareversionen zu übertragen. Dieser Prozess, bekannt als Backporting, hilft, langwierige Regressionstests und potenziell störende Änderungen zu vermeiden.
Lightwell Network
Dieses Produkt bietet sofortigen Zugang zu einer wachsenden Bibliothek von Inhalten, die von den neuesten bis zu älteren Bibliotheken reichen und hochwertige Korrekturen enthalten. Mitglieder erhalten einen kontinuierlichen Strom digital signierter Binärdateien, Quellcodes und umfassende Compliance-Artefakte, einschließlich vollständiger Software Bills of Materials (SBOMs) – detaillierte Listen aller Softwarekomponenten. Diese werden direkt in bestehende Entwicklungspipelines geliefert.
Lightwell Clearinghouse Premier
Lightwell Clearinghouse Premier ist als vertrauenswürdiger Vermittler für die branchenübergreifende Zusammenarbeit, erweiterte vertikale Bedrohungskoordination und gesicherte Patch-Embargos konzipiert. Zunächst ist der Dienst auf den Finanzsektor beschränkt. Teilnehmende Organisationen können Schwachstellen einreichen und gezielte Versionskorrekturen unter einem gesicherten Embargo-Fenster anfordern. Bei Erfolg soll das Angebot auf die Bereiche Regierung, Gesundheitswesen und Telekommunikation ausgeweitet werden.
Integration in die Open-Source-Gemeinschaft
IBM und Red Hat betonen, dass Sicherheitskorrekturen aktiv an die ursprüngliche Open-Source-Gemeinschaft zur Überprüfung und Annahme zurückgesendet werden. Dies soll sicherstellen, dass kommerzieller Schutz und die Gesundheit der Gemeinschaft sich gegenseitig verstärken und eine Fragmentierung von Projekten verhindert wird.
Wettbewerb und Kooperation
Lightwell agiert nicht isoliert. Die Linux Foundation hat zusammen mit Industriepartnern kürzlich Akrites ins Leben gerufen, um kritische Open-Source-Software vor KI-gestützten Bedrohungen zu schützen. Während Akrites ein von einer Stiftung geführtes Projekt ist, das sich auf Prozesse und Koordination konzentriert, ist Lightwell ein kommerzieller Dienst, der Unternehmen vertraglich abgesicherte, unternehmensspezifische Backports liefert. Es gibt jedoch Überschneidungen und Kooperationen; Microsoft beispielsweise arbeitet sowohl an Akrites als auch an Lightwell mit, um die schnelle Bereitstellung kritischer Korrekturen zu gewährleisten.
Thema: IBM. Quelle/Inspiration: ZDNet.