IBM und Red Hat erweitern Lightwell für vertrauenswürdige Software-Lieferketten im KI-Zeitalter

IBM und Red Hat haben die Erweiterung von Lightwell angekündigt und ein neues kommerzielles Angebot eingeführt, das Unternehmen dabei helfen soll, vertrauenswürdige und verifizierbare Software-Lieferketten für das Zeitalter der KI-gestützten Softwareentwicklung aufzubauen. Das Produkt basiert auf dem Open-Source-Projekt Lightwell und ist darauf ausgelegt, Software-Signierung, Herkunftsverfolgung (Provenance), Artefakt-Verifikation und Richtliniendurchsetzung zu vereinfachen, um sicherzustellen, dass Software – ob von Menschen oder KI erzeugt – während des gesamten Bereitstellungslebenszyklus vertrauenswürdig ist. Lightwell bündelt mehrere aufkommende Sicherheitsstandards, darunter Sigstore, in-toto, SLSA und SBOM (Software Bill of Materials), in einer kohärenten Plattform, die Signierung, Herkunftsverfolgung und Richtliniendurchsetzung integriert, anstatt sie als getrennte Aktivitäten zu behandeln. Das erweiterte kommerzielle Produkt bietet Funktionen wie Artefakt-Signierung, Erzeugung von Herkunftsnachweisen, Richtlinienverifikation und Lebenszyklusmanagement, sodass Unternehmen Lieferkettensicherheit implementieren können, ohne fragmentierte Open-Source-Komponenten zusammenzusetzen. Dieser Wandel spiegelt einen breiteren Trend in der Softwaretechnik wider, bei dem Vertrauen zu einem Attribut wird, das Software von der Entwicklung bis zur Bereitstellung begleitet, anstatt eine finale Sicherheitsprüfung vor der Veröffentlichung zu sein. Da KI-Agenten zunehmend Code generieren, Infrastruktur modifizieren und an Softwarebereitstellung teilnehmen, benötigen Organisationen Mechanismen, um zu verifizieren, welche Identität jede Aktion ausgeführt hat und unter welchen Richtlinien, was mit Branchenbemühungen um verifizierbare Ausführung, kryptografische Attestierungen, Workload-Identität und Policy-as-Code übereinstimmt. IBM und Red Hat sind Teil einer breiteren Bewegung, zu der auch GitHub mit CodeQL und Artefakt-Attestierungen, die Übernahme von SLSA und Sigstore durch Google, die Integration von Signierung in Azure DevOps und GitHub Advanced Security durch Microsoft sowie die Zusammenarbeit der CNCF mit Kusari gehören. Die Erweiterung von Lightwell deutet auf eine Zukunft hin, in der Softwaresicherheit weniger von isolierten Werkzeugen abhängt und mehr von umfassenden Vertrauensarchitekturen, die den gesamten Software-Lebenszyklus umspannen.