O projeto Lightwell, uma iniciativa de seguran\u00e7a de c\u00f3digo aberto, recebe um investimento de US$ 5 bilh\u00f5es da IBM e da Red Hat com 20 mil engenheiros para atuar na detec\u00e7\u00e3o e corre\u00e7\u00e3o de vulnerabilidades em software de c\u00f3digo aberto. A meta \u00e9 criar uma opera\u00e7\u00e3o organizada que trate o risco de cadeia de suprimentos como prioridade, escalando a resposta a partir do upstream.<\/p>\n
A proposta envolve o uso de intelig\u00eancia artificial para vasculhar grandes bases de c\u00f3digo, grafos de depend\u00eancias e hist\u00f3ricos de configura\u00e7\u00e3o, gerando patches candidatos que ser\u00e3o validados por engenheiros e, em seguida, encaminhados aos mantenedores upstream. A ideia \u00e9 acelerar o ciclo de corre\u00e7\u00e3o sem comprometer governan\u00e7a e modelo de desenvolvimento aberto.<\/p>\n
O Lightwell n\u00e3o pagar\u00e1 programadores upstream. Em vez disso, oferece ferramentas de IA e uma equipe dedicada para trabalhar em projetos abertos cr\u00edticos, fortalecendo componentes usados por empresas. A iniciativa j\u00e1 aponta o Maven\/Java como ponto de partida e deve expandir para PyPI, npm, Go e outras bases amplas.<\/p>\n
O modelo operacional visa unir requisitos de seguran\u00e7a de grandes organiza\u00e7\u00f5es com comunidades de c\u00f3digo aberto. Empresas fornecem informa\u00e7\u00f5es sobre os componentes utilizados; equipes do Lightwell identificam fraquezas, prop\u00f5em patches e trabalham com mantenedores upstream para integra\u00e7\u00e3o de corre\u00e7\u00f5es.<\/p>\n
Segundo executivos, o Lightwell funciona como um intermedi\u00e1rio confi\u00e1vel entre setores de seguran\u00e7a, scanners terceirizados e mantenedores da comunidade, reunindo descoberta de vulnerabilidades, triagem, desenvolvimento de patches, backporting e suporte de longo prazo para vers\u00f5es implantadas pelas empresas.<\/p>\n
A IBM afirma que a iniciativa representa um novo modelo industrial, que combina IA, experi\u00eancia em engenharia e colabora\u00e7\u00e3o confi\u00e1vel para fortalecer o software de c\u00f3digo aberto na origem e na cadeia de suprimentos. O projeto \u00e9 descrito como uma mudan\u00e7a de paradigma rumo a uma entrega mais robusta de seguran\u00e7a.<\/p>\n
A empresa informou ainda que o servi\u00e7o ser\u00e1 oferecido por meio de assinaturas comerciais, integrando patches seguros aos cadeados de produ\u00e7\u00e3o das organiza\u00e7\u00f5es, com valida\u00e7\u00e3o empresarial e gest\u00e3o de lifecycle. A expectativa \u00e9 que o modelo permane\u00e7a upstream\u2011first, funcionando como ponte entre demandas empresariais e cad\u00eancia de lan\u00e7amentos da comunidade.<\/p>\n
Como funcionamento pr\u00e1tico, a assinatura prev\u00ea integra\u00e7\u00e3o com CI\/CD, registries e SBOMs existentes, fornecendo patches e decis\u00f5es de pol\u00edticas via APIs e cat\u00e1logos. A previs\u00e3o inicial \u00e9 iniciar com o ecossistema Maven\/Java, seguido de outras linguagens e plataformas de c\u00f3digo aberto.<\/p>\n
Ainda sem detalhes sobre pre\u00e7o por pacote ou cobran\u00e7a, a divulga\u00e7\u00e3o da IBM refor\u00e7a que o servi\u00e7o ser\u00e1 lan\u00e7ado nos pr\u00f3ximos 30 dias, mantendo o foco em oferecer uma camada adicional de confian\u00e7a para empresas que dependem de software aberto. As d\u00favidas permanecem sobre o papel dos desenvolvedores upstream e a poss\u00edvel influ\u00eancia de um gatekeeper corporativo.<\/p>\n","protected":false},"excerpt":{"rendered":"