Siga ZDNET: Adicione-nos como fonte preferencial no Google.
Principais vantagens do ZDNET
- Lightwell agora é um serviço de defesa de IA de código aberto.
- Akrites e Athena usam abordagens semelhantes.
- Os ataques conduzidos por IA requerem defensores alimentados por IA.
Para desenvolvedores de software, a IA é uma bênção e uma maldição. Por um lado, a IA permite que os desenvolvedores criem programas mais rápido do que nunca. Por outro lado, a inteligência artificial permite que os hackers encontrem e explorem falhas de segurança ainda mais rapidamente.
Para lidar com isso, IBM e O chapéu vermelho lançou o Projeto Lightwell.
Através de uma iniciativa de IA de US$ 5 bilhões, a missão da Lightwell é encontrar e corrigir vulnerabilidades em software de código aberto em escala industrial. Agora passou do projeto para os produtos: Lightwell Network e Lightwell Clearinghouse Premier.
Também: A segurança de código aberto é uma bagunça – IBM e Red Hat prometem US$ 5 bilhões e 20.000 engenheiros para consertá-la
A Lightwell Network está geralmente disponível, enquanto Lightwell Clearinghouse Premier está entrando em uma fase de implementação de disponibilidade limitada. De acordo com as empresas, “a Lightwell agora estende esta proteção empresarial comprovada a todo o portfólio de software de uma organização”. Ambos os serviços fornecem uma maneira de fornecer componentes de código aberto para empresas, não apenas aqueles fornecidos em produtos Red Hat e IBM.
Segurança de código aberto turbinada
Ambas as empresas enfatizam que esta não é tanto uma abordagem nova, mas um megaprojeto inchado de código aberto apoiado por IA e 20.000 engenheiros. É “um modelo construído sobre décadas de confiança, onde a Red Hat forneceu os sistemas mais críticos do mundo a milhares de clientes”, e pode ser dimensionado em uma pilha de software muito mais ampla.
A oferta é baseada no que a dupla descreve como “os recursos de alto rendimento de um mecanismo de remediação generativa alimentado por IA que já está instalado e funcionando em escala”. Este pipeline de automação “combina modelos de IA com engenharia humana para identificar, validar e remediar vulnerabilidades em dependências críticas incorporadas profundamente nas arquiteturas de software atuais”.
Também: A IBM diz que pode acomodar quase 100 bilhões de transistores em um chip – por que esse marco é importante
Em vez de os clientes procurarem constantemente por versões anteriores, a Lightwell “usa a automação para fornecer correções críticas diretamente para versões precisas e de longa duração do software de produção, ajudando a lidar com longos testes de regressão e interrompendo mudanças que muitas vezes paralisam as equipes forçadas a adotar grandes atualizações upstream”.
O primeiro novo produto, Lightwell Network, fornece “acesso instantâneo a uma biblioteca ativa e crescente de conteúdo que abrange as mais recentes bibliotecas legadas com revisões de alto valor”. Os membros recebem “um fluxo contínuo de binários assinados digitalmente, código-fonte e artefatos de conformidade abrangentes, incluindo listas de materiais de software (SBOMs) completas, entregues diretamente em pipelines existentes sem desvio de código”.
O segundo, Lightwell Clearinghouse Premier, foi “projetado para servir como um intermediário confiável para colaboração profunda da indústria, melhor coordenação vertical de ameaças e embargos seguros de patches”.
Inicialmente, o Lightwell Clearinghouse Premier estará limitado a serviços financeiros. As organizações participantes podem enviar vulnerabilidades e solicitar “correções direcionadas sob uma janela de embargo segura”. Se for bem-sucedido, será expandido para o governo, saúde e telecomunicações.
Como Lightwell está mudando a equação de patch
A IBM e a Red Hat deixam claro que o alvo é o que descrevem como um modelo de reembolso falido numa era de exploração barata impulsionada pela IA. Com o “software empresarial funcional” de código aberto, eles afirmam, “o grande volume e as técnicas geradas pela IA de US$ 50 quebraram o gerenciamento tradicional de patches”. Os fornecedores afirmam que o Lightwell foi projetado para mitigar esse risco não intencional e resolver gargalos de execução, avaliando o contexto do aplicativo e as interações de dependência para fornecer correções aprovadas diretamente aos fluxos de trabalho ativos.
Como disse o presidente e CEO da Red Hat, Matt Hicks, “Lightwell representa uma mudança estrutural fundamental na forma como entregamos todos os softwares empresariais. Ao conectar a remediação automatizada com nossa profunda herança de engenharia, nos esforçamos para fornecer a infraestrutura confiável necessária para consumir código aberto com confiabilidade, sustentabilidade e velocidade de ponta”.
Também: Preso no modo piloto AI? A IBM oferece uma solução para ajudá-lo a escalar sem gastar muito
Rob Thomas, vice-presidente sênior de software e diretor comercial da IBM, enfatiza “faremos o trabalho duro para você”. “A IBM e a Red Hat oferecem às empresas soluções certificadas que podem ser implementadas diretamente nos sistemas que já utilizam, sem modificação ou interrupção, apoiadas por uma rede crescente de tecnologia e parceiros de entrega”, disse ele.
Lightwell também depende muito do modelo “upstream sempre” da Red Hat. De acordo com a declaração, “as correções de segurança são submetidas ativamente à comunidade original de código aberto para revisão e aceitação”, o que visa garantir que “a proteção comercial e a saúde da comunidade se reforcem continuamente, evitando a fragmentação do projeto sem arriscar zero dias de produção”.
Isso parece bom, mas a IBM e a Red Hat não são as únicas que tentam usar a IA para proteger o código-fonte aberto contra invasores orientados pela IA.
Onde Akrites se encaixa
Lightwell não existe no vácuo. A Linux Foundation foi lançada recentemente com parceiros da indústria Akrites para proteger software crítico de código aberto contra ameaças habilitadas por IA. Akrites mitiga os riscos da cadeia de fornecimento de software de código aberto, protegendo projetos críticos de código aberto. Isso é feito criando uma estrutura comum sobre como mantenedores e consumidores coordenam vulnerabilidades críticas.
Embora Lightwell seja um serviço comercial, Akrites é um esforço gerenciado por uma fundação que se concentra na coordenação de processos e projetos. Seu objetivo é fornecer aos mantenedores e usuários de infraestrutura crítica uma maneira confidencial e estruturada de lidar com falhas descobertas pela IA, padronizando a correção e divulgação de vulnerabilidades, em vez de fornecer patches backportados específicos da empresa.
Também: Red Hat Desktop vs. Fedora Hummingbird: Qual caminho Linux para desenvolvimento de IA é ideal para você?
Suas linhas já estão confusas. No anúncio da Lightwell, Sandy Gupta, vice-presidente de desenvolvimento de parceiros de fornecedores independentes de software (ISV) da Microsoft, aponta para esta interseção: “A velocidade de entrega de pontes aos clientes é crítica. Já trabalhamos com a IBM e a Red Hat como parte do esforço Akrites da Linux Foundation, e agora estamos expandindo essa colaboração com a Lightwell para garantir que correções e ferramentas críticas cheguem aos clientes o mais rápido possível”.
Na prática, Akrite visa determinar como projetos críticos de código aberto lidam com vulnerabilidades em um mundo acelerado por IA, enquanto Lightwell oferece às empresas a capacidade de usar essas correções e backports desenvolvidos pela IBM/Red Hat sob contrato.
Onde a Athena de Chainguard se encaixa
A Coalizão Athena de Chainguard ocupa outro canto desta corrida pela segurança em rápida evolução. Athena é uma coalizão da indústria que protege software de código aberto contra ataques de IA. Ele foi projetado para uma era de modelos de fronteira, onde os sistemas de IA podem encontrar falhas graves mais rápido do que qualquer um pode corrigi-las.
Assim como o Lightwell, o Athena foi projetado como uma espécie de câmara de compensação alimentada por IA, mas em vez de um serviço de fornecedor único, agrega descobertas e correções de vulnerabilidades de “mais de duas dúzias de organizações”, incluindo bancos e grandes provedores de infraestrutura, bem como desenvolvedores.
Athena já está publicando números preliminares. De acordo com Protetor de corrente“O Athena está instalado e funcionando hoje. Ele processou mais de 40.000 descobertas e gerou mais de 2.000 patches em mais de 500 projetos de código aberto. A coalizão usa IA para encontrar e corrigir vulnerabilidades em software de código aberto amplamente utilizado antes que os invasores possam explorá-los.” Seu foco está em bibliotecas, contêineres e outros componentes que sustentam sistemas críticos.
Também: Quão digitalmente soberana é a sua organização? Esta ferramenta Red Hat pode te dizer em minutos
Como Dan Lorenk, fundador e CEO da Chainguard explicado“Athena fornece um lugar para as organizações encontrarem → consertar → proteger → superfície → descobrir vulnerabilidades que os modelos de IA descobrem. As descobertas vêm de toda a coalizão. Desenvolvemos soluções sob embargos. Os parceiros constroem defesas sem patches em torno deles. Descobrimos exposições que de outra forma permaneceriam invisíveis. E então colocamos produtos de limpeza robustos em operação que podem consertar em casa.”
Em contraste com a ênfase de Lightwell no envio de backports prontos para empresas para pipelines de clientes, o fluxo de trabalho da Athena começa com descobertas de IA agrupadas que são “repetidas, distribuídas e enriquecidas em uma câmara de compensação comum”, após as quais os membros da coalizão trabalham juntos para resolver vulnerabilidades.
Se um patch limpo ainda não estiver disponível, “o Athena fornece camadas independentes de proteção para manter a cobertura mesmo na ausência de um patch oportuno e continua monitorando quaisquer vulnerabilidades até que uma solução upstream estável esteja em vigor”. Essas correções devem então ser enviadas para o upstream e para os próprios artefatos seguros por padrão da Chainguard, incluindo imagens e pacotes mínimos compatíveis com SLSA.
Três modelos para proteger o código aberto na era da inteligência artificial
Juntos, Lightwell, Akrites e Athena descrevem três respostas diferentes e cada vez mais sobrepostas para o mesmo problema básico: uma ferramenta de IA rápida e barata que pode detectar e corrigir vulnerabilidades em compartilhamentos de código aberto mais rapidamente do que os pipelines de patch tradicionais.
Também: A IBM diz que pode acomodar quase 100 bilhões de transistores em um chip – por que esse marco é importante
Akrites se concentra no gerenciamento e processos críticos de projetos em um esforço para padronizar como os mantenedores e usuários finais lidam com vulnerabilidades orientadas por IA e patches de embargo. A Athena conduz pesquisas de vulnerabilidade aceleradas por IA em uma coalizão intersetorial que compartilha descobertas, coordena a correção pré-divulgação e impulsiona a correção upstream, ao mesmo tempo que as injeta em artefatos mais robustos da cadeia de suprimentos. Por outro lado, o Lightwell é voltado diretamente para empresas que não desejam qualquer confusão ou bobagem, apenas soluções certificadas que podem implementar diretamente em sistemas que já estão em execução, sem modificações ou interrupções.
Precisaremos de tudo isso e muito mais em um futuro próximo. A IA está transformando o software de código aberto e a segurança. Até desenvolvermos um caminho para realmente proteger nosso código, teremos que tentar todas essas abordagens e ver quais funcionam melhor para proteger a nós e a nossos programas.
