IBM un Red Hat 8. jūlijā sāka par naudu pārdot Lightwell — pakalpojumu, kas ar ģeneratīvo AI un cilvēku inženieriem salāpa ievainojamības atvērtā pirmkoda atkarībās un piegādā gatavus, parakstītus bināros failus tieši uzņēmuma konveijerā. Pirmais katalogs sākas ar 6500 jau salāpītām, sertificētām un digitāli parakstītām lietojumu līmeņa atkarībām Java un Python ekosistēmās.
Ideja adresē problēmu, ko zina katrs, kas uztur produkcijas sistēmu: atvērtais pirmkods veido līdz 90% no uzņēmuma koda bāzes, un vidējā koda bāzē mēdz būt ap 581 zināma ievainojamība. Labot tās nozīmē vai nu gaidīt augšposma laidienu, vai pašam pārtaisīt veco versiju.
Ko Lightwell dara ar veco versiju
Galvenais tehniskais solis ir backports — kritiskā labojuma pārnešana atpakaļ uz konkrētu, jau strādājošu versiju, nevis piespiešana pāriet uz jaunāko augšposma laidienu. Tā ir tā vieta, kur komandas parasti iestrēgst: liels versijas lēciens ienes API izmaiņas un salauž funkcijas, tāpēc seko garš regresijas testēšanas cikls. Lightwell piedāvā labotu to pašu veco versiju, ar kuru uzņēmums jau strādā. Praksē tas atgādina scenāriju ap Log4Shell 2021. gadā: bija zināms labojums, bet daudzas komandas nevarēja to ievilkt uzreiz, jo jaunā versija prasīja pārrakstīt konfigurāciju un pārbaudīt visu no jauna.
Katrai atkarībai nāk līdzi parakstīts binārais fails, pirmkods un pilns programmatūras sastāva saraksts (SBOM), ko var iebīdīt esošajā CI/CD konveijerā. IBM to formulē tieši:
IBM un Red Hat dod uzņēmumiem sertificētus labojumus, ko var ievilkt tieši tajās sistēmās, kuras tie jau darbina, bez pārbūves vai darba pārtraukšanas.
Aiz katras labotās atkarības stāv gan modeļi, gan cilvēki. Remediācijas dzinējs apvieno komerciālus un atvērtos AI modeļus ar inženieru pārbaudi, kas apstiprina, vai labojums tiešām aizver ievainojamību un neko nesalauž. Red Hat pie tā tur tā saukto upstream-always principu: labojumu vispirms sūta atpakaļ augšposma projektam, lai neveidotos vēl viens paralēls kods, kas dzīvo tikai maksas pakalpojumā. Red Hat paziņojumā to sasaista ar jau esošo darbu drošības jomā, kur uzņēmums gadiem uztur labojumus vecākām savu produktu versijām.
Divi produkti, no kuriem otrs vēl slēgts
Komerciālais laidiens sastāv no divām daļām. Lightwell Network ir publiski pieejams jau tagad — tas ir katalogs ar parakstītajām atkarībām un nepārtraukta labojumu plūsma. Lightwell Clearinghouse Premier pagaidām atvērts tikai finanšu nozarei. Tas darbojas kā starpnieks embargo režīmā: organizācija var iesniegt ievainojamību un pieprasīt konkrētas versijas labojumu, pirms informācija kļūst publiska. Vēlāk to plānots atvērt valsts sektoram, veselības aprūpei un telekomunikācijām.
Ieviešanā palīdz sistēmu integratori — Accenture, Deloitte, EY, Kyndryl un TCS. Tas norāda, kam pakalpojums adresēts: lielām organizācijām ar sarežģītiem konveijeriem un atbilstības prasībām, nevis atsevišķam izstrādātājam.
Skaitļi, ar ko pamato steidzamību
IBM un Red Hat argumentu balsta uz mērogu. 2025. gadā atvērtā pirmkoda pakotnes lejupielādētas 9,8 triljonus reižu. Uzbrukuma pusē cena krītas — Developer Tech min, ka ar AI ģenerētu ekspluatāciju tagad var iegūt par aptuveni 50 dolāriem. Maijā abi uzņēmumi paziņoja par 5 miljardu dolāru saistībām atvērtā pirmkoda drošībai un 20 000 inženieru, kas stāv aiz šī darba.
Red Hat vadītājs Mets Hikss (Matt Hicks) Lightwell sauc par pārmaiņu tajā, kā tiek nodrošināta uzņēmuma programmatūra. IBM programmatūras viceprezidents Robs Tomass (Rob Thomas) uzsver, ka sertificētu labojumu izgatavošana prasa mērogu, kāda vairumam organizāciju nav. Tie ir spēcīgi vārdi no pārdevēja, un tos vērts lasīt kā tādus.
Kur der uzmanība
6500 atkarību ir sākuma katalogs, ne pārklājums visam, ko uzņēmumi lieto. Java un Python pagaidām ir vienīgās ekosistēmas; par JavaScript, Go, Rust vai C atkarībām solījuma nav. Uzņēmumi runā par miljoniem atkarību nākotnē, bet šodien tas ir plāns, ne katalogs.
Ir arī jautājums par atkarību. Ja labotos binārus piegādā viens pārdevējs un daļa no tā nāk aiz maksas robežas, tad kritiskā piegādes ķēdes daļa pāriet uz komerciālu līgumu. Upstream-always princips šeit ir svarīgs: kamēr labojumi tiešām nonāk augšposmā, arī tie, kas Lightwell nemaksā, kaut ko iegūst. Ja tas sāktu klibot, maksātāji labojumu saņemtu ātrāk nekā pārējā kopiena.
Praktiski Lightwell konkurē ne tik daudz ar citu produktu, cik ar to, ko komandas dara pašas: gaida augšposma laidienu, paši backporto vai atliek. Ja parakstīts, ar SBOM aprīkots labojums iekrīt konveijerā ātrāk, nekā komanda to izdarītu manuāli, aprēķins var iznākt vienkāršs. Reālo vērtību parādīs tas, cik ātri katalogs aug un cik no tā aizsniedz ekosistēmas ārpus Java un Python.
Komentāri
Šim rakstam vēl nav komentāru. Esi pirmais, kurš dalās ar savu viedokli.