IBM y Red Hat amplían Lightwell para construir cadenas de suministro de software confiables en la era de la IA

IBM y Red Hat han anunciado la expansión de Lightwell, presentando una nueva oferta comercial destinada a ayudar a las organizaciones a construir cadenas de suministro de software fiables y verificables en la era del desarrollo de software asistido por IA. El producto se basa en el proyecto de código abierto Lightwell y está diseñado para simplificar la firma de software, el seguimiento de procedencia, la verificación de artefactos y la aplicación de políticas, garantizando que el software—ya sea generado por humanos o por IA—sea confiable durante todo el ciclo de vida de entrega. Lightwell consolida múltiples estándares de seguridad emergentes, incluyendo Sigstore, in-toto, SLSA y SBOM, en una plataforma cohesiva que integra la firma, el seguimiento de procedencia y la aplicación de políticas en lugar de tratarlos como actividades separadas. El producto comercial ampliado proporciona capacidades como la firma de artefactos, la generación de procedencia, la verificación de políticas y la gestión del ciclo de vida, permitiendo a las organizaciones implementar seguridad de la cadena de suministro sin ensamblar componentes de código abierto fragmentados. Este cambio refleja una tendencia más amplia en la ingeniería de software donde la confianza se convierte en un atributo que acompaña al software desde el desarrollo hasta el despliegue, en lugar de ser una comprobación de seguridad final antes del lanzamiento. A medida que los agentes de IA generan cada vez más código, modifican infraestructura y participan en la entrega de software, las organizaciones necesitan mecanismos para verificar qué identidad realizó cada acción y bajo qué políticas, alineándose con los esfuerzos de la industria en torno a la ejecución verificable, las atestaciones criptográficas, la identidad de cargas de trabajo y la política como código. IBM y Red Hat forman parte de un movimiento más amplio que incluye a GitHub con CodeQL y atestaciones de artefactos, la adopción de SLSA y Sigstore por parte de Google, la integración de la firma en Azure DevOps y GitHub Advanced Security por Microsoft, y la colaboración de CNCF con Kusari. La expansión de Lightwell significa un futuro donde la seguridad del software depende menos de herramientas aisladas y más de arquitecturas de confianza integrales que abarcan todo el ciclo de vida del software.