de.wedoany.com-Bericht: Red Hat hat die Einführung von Project Lightwell angekündigt, das durch eine Kombination aus KI und menschlicher Arbeit die Auslieferung von Sicherheitspatches für unternehmenskritische Open-Source-Software beschleunigt, um den zunehmenden Bedrohungen der Lieferkette zu begegnen.
Chris Wright, CTO von Red Hat, wies darauf hin, dass Open-Source-Software die Grundlage moderner Technologie bilde und es keine Alternative gebe. Seit 2016 sei die Anzahl der veröffentlichten CVEs um über 520 % gestiegen. KI-gesteuerte Scan-Tools könnten kritische Zero-Day-Schwachstellen innerhalb weniger Stunden erkennen, aber weniger als 1 % davon würden behoben. Die zentrale Herausforderung für Unternehmen liege in der operativen Fähigkeit, Patches schnell zu konsumieren und bereitzustellen.
Derzeit sind die wichtigsten Organisationen auf dieselben zentralen Open-Source-Pakete angewiesen, wie Spring Framework, Jackson, Log4j, Pandas und OpenSSL. Es mangelt jedoch an Koordination, sodass Schwachstellen isoliert erkannt und Patches separat entwickelt werden. Dies führt zu erheblicher Doppelarbeit und uneinheitlicher Qualität, während das gesamte Ökosystem weiterhin Risiken ausgesetzt ist.
Project Lightwell erweitert die seit zwei Jahrzehnten von Red Hat betriebene Methode des Backportings von Sicherheitspatches für Unternehmen. Es überträgt diese Ingenieurspraxis auf den Bereich der Anwendungsframeworks und Abhängigkeiten oberhalb der Betriebssystemebene, beginnend mit Maven/Java und später ausgeweitet auf PyPI, npm und andere. Das Projekt nutzt KI zur Verarbeitung hoher Bedrohungsmengen, kombiniert mit menschlicher Ingenieursarbeit, um präzise Fixes für die von Unternehmen betriebenen exakten stabilen Versionen durchzuführen. Dabei wird stets das Upstream-Prinzip befolgt, indem die reparierten Codes an die ursprünglichen Open-Source-Communities zurückgegeben werden.
Das Projekt ist Teil einer gemeinsamen Zusage von Red Hat und IBM in Höhe von 5 Milliarden US-Dollar, unterstützt von über 20.000 Ingenieuren, und zielt darauf ab, eine Informationsdrehscheibe für die Sicherheit der Softwarelieferkette aufzubauen. Dieses Netzwerk ermöglicht es Mitgliedern, Schwachstellen frühzeitig zu teilen und koordinierte Patches zu erhalten. Jeder Fix wird kryptografisch signiert und mit einer maschinenlesbaren SBOM sowie einem Sicherheitsbulletin versehen, um Compliance-Anforderungen zu erfüllen. Durch Project Lightwell werden die Verteidigungsfähigkeiten einzelner Unternehmen und das allgemeine Sicherheitsniveau der Open-Source-Community gleichzeitig gestärkt.
Dieser Artikel wurde von Wedoany übersetzt und bearbeitet. Bei jeglicher Zitierung oder Nutzung durch künstliche Intelligenz (KI) ist die Quellenangabe „Wedoany“ zwingend vorgeschrieben. Sollten Urheberrechtsverletzungen oder andere Probleme vorliegen, bitten wir Sie, uns unverzüglich zu benachrichtigen. Wir werden den entsprechenden Inhalt umgehend anpassen oder löschen.
E-Mail: news@wedoany.com
