IBM und Red Hat starten Lightwell Network: Sicherheitslücken in Open-Source-Software schneller beheben

Technologische Grundlage der neuen Plattform ist eine KI-gestützte Remediation-Engine, die Sicherheitslücken automatisiert erkennen, validieren und beheben kann…

Hintergrund

Der Schutz von Open-Source-Software-Lieferketten erfordert ein offenes und breites Ökosystem, das KI-Modelle, Entwicklungstools und Unternehmens-Infrastruktur umfasst. IBM und Red Hat haben im Juli dazu die Einführung von Lightwell bekanntgegeben, einer Lösung zur automatisierten Behebung von Sicherheitslücken im großen Maßstab, die in zwei Varianten angeboten wird: Lightwell Network und Lightwell Clearinghouse Premier.

Ziel ist es, Unternehmen dabei zu unterstützen, Sicherheitslücken in bestehenden Open-Source-Softwareumgebungen schneller zu beheben, ohne disruptive Upgrades oder umfangreiche Änderungen an produktiven Systemen durchführen zu müssen. Lightwell wird dazu um ein wachsendes Netzwerk aus Technologie- und Implementierungspartnern erweitert.

Durch die Zusammenarbeit möchte Lightwell eine orchestrierte Verteidigung erreichen, die es ermöglichen soll, Netzwerkregeln, Cloud-Umgebungen und Implementierungs-Pipelines unternehmensweit gleichzeitig zu aktualisieren, sobald ein Fix bereitsteht.

Da Open-Source-Software bis zu 90% der Codebasen in Unternehmen ausmacht und allein im Jahr 2025 ca. 9,8 Billionen Downloads generieren soll (1), haben sowohl das enorme Volumen als auch die durch KI erzeugten Exploits (2) das traditionelle Patch-Management überfordert, sodass Codebasen im Durchschnitt 581 Schwachstellen (3) aufweisen.

Lightwell wurde entwickelt, um dieses nicht erfasste Risiko zu mindern und Ausführungsengpässe zu beseitigen, indem es den Anwendungskontext und die Wechselwirkungen zwischen Abhängigkeiten auswertet, um validierte Korrekturen direkt in aktive Arbeitsabläufe einzubinden.

Ankündigungsdetails:

"Technologische Grundlage der neuen Plattform ist eine KI-gestützte Remediation-Engine, die Sicherheitslücken automatisiert erkennen, validieren und beheben soll. Die Pipeline kombiniert dazu generative KI-Modelle mit menschlicher Engineering-Expertise, um Schwachstellen auch in tief eingebetteten Softwareabhängigkeiten moderner Anwendungen zu identifizieren und gezielt zu adressieren. Dabei werden auch Sicherheitsupdates für bereits im Einsatz befindliche Softwareversionen bereitgestellt, wodurch sich Risiken und Aufwand durch komplexe Versionswechsel reduzieren lassen.

Lightwell Network stellt Unternehmen nach vorliegenden Informationen dafür einen Katalog von mehr als 6.500 geprüften, digital signierten und zertifizierten Open-Source-Komponenten bereit – inklusive Quellcode und Compliance-Informationen wie SBOMs. Lightwell Clearinghouse Premier ermöglicht Anwendern aus der Finanzbranche eine koordinierte Zusammenarbeit bei sicherheitskritischen Bedrohungen sowie die gezielte Entwicklung und Bereitstellung von Security-Fixes für betroffene Softwareversionen.

Lightwell folgt dazu dem „upstream-always“-Modell von Red Hat: Entwickelte Patches und behobene Schwachstellen werden weiterhin an die jeweiligen Open-Source-Projekte zurückgegeben. So verbindet Lightwell den Schutz produktiver Unternehmensumgebungen mit der Weiterentwicklung der Open-Source-Community und schafft eine robuste Grundlage für den sicheren Einsatz von Open-Source-Software."

Lightwell - Technologieanbieter:

"Amazon Web Services (AWS), AMD, F5, GitLab, Intel, JFrog, Microsoft, NVIDIA, Palo Alto Networks und ServiceNow arbeiten bei Lightwell mit IBM und Red Hat zusammen. Dieses wachsende Ökosystem soll sicherstellen, dass sich die Sicherheitskorrekturen von Lightwell über vielfältige Umgebungen erstrecken und eine breite Palette bestehender Tools, Anwendungen und Dienste ohne Unterbrechungen schützen.

Lightwell - Bereitstellungs- und Strategiedienstleistungen:

Um die Einführung zu beschleunigen, können Systemintegrations- und strategische Bereitstellungsdienstleistungen in Anspruch genommen werden. Dazu stehen IBM Consulting, Red Hat Consulting, Accenture, Atos, Cognizant, Deloitte, die Cyber- und Risikoberatungsteams von EY, HCLTech, Infosys, Kyndryl, LTM, NTT DATA, Tata Consultancy Services (TCS) und Tech Mahindra bereit."

Diese Unternehmen sollen Unternehmenskunden dabei unterstützen, SBOMs abzubilden, Versionszuordnungen zu verwalten, Lightwell-Register zu integrieren und Pipelines zu bewerten, um sich auf Schwachstellen im Zusammenhang mit der Geschwindigkeit von KI vorzubereiten.

Kommentar Sandy Gupta, Vice President, Partner Development ISV, Microsoft: “Speed in delivering patches to customers is critical. We’re already working together with IBM and Red Hat as part of the Linux Foundation's Akrites effort and now extending that collaboration to Lightwell to ensure critical fixes reach customers as quickly as possible using the fastest delivery mechanisms and tools.“