- IBM e Red Hat anunciam o Project Lightwell, uma iniciativa de segurança em software open‑source que combina IA, tecnologia de ponta e uma grande equipe de engenharia.
- O plano é investir 5 bilhões de dólares e mobilizar 20 mil engenheiros para identificar e corrigir vulnerabilidades em nível industrial.
- Lightwell funciona como um intermediário confiável entre empresas e comunidades upstream, buscando falhas com IA e propondo patches que são feitos em parceria com os mantenedores.
- O projeto começará pelo ecossistema Maven/Java e será expandido para PyPI, npm, Go e outras bases de código open‑source relevantes.
- O serviço será oferecido via assinaturas comerciais, integrando-se a cadeias de suprimentos de software, com validação de nível empresarial e gestão de ciclo de vida, mas não pagará diretamente desenvolvedores upstream.
O projeto Lightwell, uma iniciativa de segurança de código aberto, recebe um investimento de US$ 5 bilhões da IBM e da Red Hat com 20 mil engenheiros para atuar na detecção e correção de vulnerabilidades em software de código aberto. A meta é criar uma operação organizada que trate o risco de cadeia de suprimentos como prioridade, escalando a resposta a partir do upstream.
A proposta envolve o uso de inteligência artificial para vasculhar grandes bases de código, grafos de dependências e históricos de configuração, gerando patches candidatos que serão validados por engenheiros e, em seguida, encaminhados aos mantenedores upstream. A ideia é acelerar o ciclo de correção sem comprometer governança e modelo de desenvolvimento aberto.
O Lightwell não pagará programadores upstream. Em vez disso, oferece ferramentas de IA e uma equipe dedicada para trabalhar em projetos abertos críticos, fortalecendo componentes usados por empresas. A iniciativa já aponta o Maven/Java como ponto de partida e deve expandir para PyPI, npm, Go e outras bases amplas.
O modelo operacional visa unir requisitos de segurança de grandes organizações com comunidades de código aberto. Empresas fornecem informações sobre os componentes utilizados; equipes do Lightwell identificam fraquezas, propõem patches e trabalham com mantenedores upstream para integração de correções.
Segundo executivos, o Lightwell funciona como um intermediário confiável entre setores de segurança, scanners terceirizados e mantenedores da comunidade, reunindo descoberta de vulnerabilidades, triagem, desenvolvimento de patches, backporting e suporte de longo prazo para versões implantadas pelas empresas.
A IBM afirma que a iniciativa representa um novo modelo industrial, que combina IA, experiência em engenharia e colaboração confiável para fortalecer o software de código aberto na origem e na cadeia de suprimentos. O projeto é descrito como uma mudança de paradigma rumo a uma entrega mais robusta de segurança.
A empresa informou ainda que o serviço será oferecido por meio de assinaturas comerciais, integrando patches seguros aos cadeados de produção das organizações, com validação empresarial e gestão de lifecycle. A expectativa é que o modelo permaneça upstream‑first, funcionando como ponte entre demandas empresariais e cadência de lançamentos da comunidade.
Como funcionamento prático, a assinatura prevê integração com CI/CD, registries e SBOMs existentes, fornecendo patches e decisões de políticas via APIs e catálogos. A previsão inicial é iniciar com o ecossistema Maven/Java, seguido de outras linguagens e plataformas de código aberto.
Ainda sem detalhes sobre preço por pacote ou cobrança, a divulgação da IBM reforça que o serviço será lançado nos próximos 30 dias, mantendo o foco em oferecer uma camada adicional de confiança para empresas que dependem de software aberto. As dúvidas permanecem sobre o papel dos desenvolvedores upstream e a possível influência de um gatekeeper corporativo.
Entre na conversa da comunidade