IBMとRed Hatは10月6日（米国現地時間）、両社の取り組み「Lightwell」を通じて、広く利用されているJavaライブラリーでこれまで発見されていなかった400件を超える脆弱性を特定し、修正したと発表した。あわせて「Lightwell Clearinghouse」の一般提供を開始した。企業は、特定のオープンソース・ソフトウェアの依存関係について、優先的なレビューと修正を依頼できる。
両社は今回の取り組みの背景として、自律型AIエージェントによる攻撃の高度化を挙げる。AIエージェントは、比較的リスクの低い複数の脆弱性を組み合わせ、より深刻な攻撃を実行できるようになっている。そのため企業には、脆弱性を特定するだけでなく、重要なアプリケーションを支えるソフトウェアで修正を開発、テスト、展開する手段が求められているという。両社はLightwellで発見した不具合を修正し、旧バージョンにもバックポートしてきた。
Lightwellは、次の要素を組み合わせている。
- Red HatとIBMのオープンソース・エンジニアリングに関する専門知識
- Red Hatとオープンソース・コミュニティーとの関係
- AI支援型のエンジニアリング・ワークフロー
- Red Hatのセキュアなソフトウェア・サプライチェーン機能とビルド・インフラストラクチャー
Lightwellは、本番環境で稼働するシステムのオープンソース・アプリケーションの依存関係に対して、バージョン固有の修正を生成する。修正は、顧客の既存のIT運用プロセスと連携するセキュアなリポジトリーを通じて提供される。そのため企業は、現在利用しているセキュリティー・スキャナー、ソフトウェア・リポジトリー、開発パイプライン、テスト・プロセスを置き換えずに脆弱性へ対処できる。
ITチームは、Lightwell Networkを通じて検証済みのパッチにアクセスし、修正済みソフトウェアを既存のワークフローに取り込める。Lightwell Clearinghouseでは、顧客が特定のオープンソース・ソフトウェアの脆弱性を両社に提出できる。提出された脆弱性は優先的にレビューされ、修正が行われる。現在も利用されている旧バージョンには、適用可能な修正プログラムが提供される。
Lightwellで開発された適用可能な修正は、責任ある情報開示プロトコルに基づき、上流のオープンソース・プロジェクトへ還元される。その際も、Lightwell Clearinghouse参加者向けの公開制限措置は維持される。
【関連記事】
・Red Hat、安全性と可観測性を強化した「Red Hat AI 3.5」を一般提供
・Preferred Networks、高速・省メモリなRust製Optuna実装「Rustuna」を公開
・IBMとRed Hat、AI活用の脆弱性修復プラットフォーム「Lightwell」を商用提供
- 関連リンク
この記事は参考になりましたか？
- この記事の著者
-
CodeZine編集部（コードジンヘンシュウブ）
CodeZineは、株式会社翔泳社が運営する開発者のための情報メディアです。日々の開発に取り組むエンジニアやテクノロジーを学びたい方に向けて、プログラミングやAI活用、開発ツール、エンジニアの学びとキャリアに関する記事をお届けしています。
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
この記事は参考になりましたか？
この記事をシェア
