IBM与Red Hat推出Lightwell，以AI防御开源代码免受攻击

随着人工智能在软件开发中的广泛应用，安全挑战也随之而来。AI既帮助开发者快速构建程序，也使黑客能更快地发现和利用安全漏洞。为此，IBM和Red Hat联合发起了Project Lightwell，这是一个由50亿美元AI计划支持的项目，旨在大规模识别和修复开源软件中的漏洞。如今，该项目已转化为两个商业产品：Lightwell Network和Lightwell Clearinghouse Premier。

Lightwell Network现已全面上市，而Lightwell Clearinghouse Premier则进入有限可用性阶段。据两家公司称，Lightwell将经过验证的企业保护扩展到组织的整个软件组合。其核心是“生成式AI驱动的修复引擎”，该引擎结合了前沿AI模型和人工工程专业知识，能够识别、验证和修复现代软件架构中关键依赖项的漏洞。

与传统方法不同，Lightwell无需客户不断追赶上游版本，而是通过自动化将关键修复直接反向移植到长期支持的生产软件版本中。这解决了团队因兼容性测试和重大变更而难以升级的困境。Lightwell Network提供持续的二进制文件、源代码和合规工件（如完整的SBOM）的交付，直接集成到现有流水线中。

Lightwell Clearinghouse Premier则作为一个受信任的中介，用于深度行业协作和高级威胁协调，最初仅限金融服务领域，未来将扩展至政府、医疗和电信行业。参与组织可在安全窗口内提交漏洞并请求针对性的修复。

Red Hat总裁兼CEO Matt Hicks表示，Lightwell代表了企业软件安全方式的根本性转变。IBM高级副总裁Rob Thomas强调，IBM和Red Hat为企业提供认证修复，无需改造或中断。同时，所有安全修复都会提交回上游开源社区，确保项目健康。

然而，Lightwell并非唯一应对AI驱动攻击的方案。Linux基金会与行业合作伙伴推出了Akrites，旨在通过通用框架协调维护者和消费者处理严重漏洞。Akrites专注于治理和流程，而非企业级补丁。Chainguard的Athena则是一个跨行业联盟，汇集了银行、基础设施提供商等组织的漏洞发现和修复工作。据Chainguard称，Athena已处理超过40,000个发现，生成了2,000多个补丁。Athena的工作流程包括共享AI发现、协同修复以及在补丁发布前的防护。

这三者代表了AI时代开源防御的不同模式：Lightwell面向企业提供即用修复；Akrites强化项目治理和协调；Athena通过联盟共享和协作修复。在AI快速发展的背景下，这些方法将共同为开源软件安全提供必要保障。