IBM ja Red Hat laajentavat Lightwellin luotettujen ohjelmistotoimitusketjujen rakentamiseksi tekoälyaikakaudella

IBM ja Red Hat ovat ilmoittaneet Lightwellin laajennuksesta tuoden markkinoille uuden kaupallisen tarjooman, jonka tavoitteena on auttaa organisaatioita rakentamaan luotettavia ja todennettavia ohjelmistotoimitusketjuja tekoälyavusteisen ohjelmistokehityksen aikakaudella. Tuote perustuu avoimen lähdekoodin Lightwell-projektiin ja on suunniteltu yksinkertaistamaan ohjelmistojen allekirjoittamista, alkuperän seurantaa, artefaktien varmennusta ja käytäntöjen valvontaa, varmistaen että ohjelmisto – oli se sitten ihmisen tai tekoälyn tuottama – on luotettava koko toimituselinkaaren ajan. Lightwell yhdistää useita nousevia tietoturvastandardeja, kuten Sigstoren, in-toton, SLSA:n ja SBOM:n, yhtenäiseksi alustaksi, joka integroi allekirjoituksen, alkuperän seurannan ja käytäntöjen valvonnan sen sijaan, että niitä käsiteltäisiin erillisinä toimintoina. Laajennettu kaupallinen tuote tarjoaa ominaisuuksia, kuten artefaktien allekirjoituksen, alkuperän tuottamisen, käytäntöjen varmennuksen ja elinkaaren hallinnan, mahdollistaen organisaatioille toimitusketjun tietoturvan käyttöönoton ilman, että niiden tarvitsee koota hajanaisia avoimen lähdekoodin komponentteja. Tämä muutos heijastaa laajempaa suuntausta ohjelmistotekniikassa, jossa luottamuksesta tulee ominaisuus, joka seuraa ohjelmistoa kehityksestä käyttöönottoon, eikä pelkkä lopullinen tietoturvatarkistus ennen julkaisua. Kun tekoälyagentit tuottavat yhä enemmän koodia, muokkaavat infrastruktuuria ja osallistuvat ohjelmistojen toimittamiseen, organisaatiot tarvitsevat mekanismeja varmistaakseen, mikä identiteetti suoritti minkäkin toimenpiteen ja minkä käytäntöjen puitteissa. Tämä on linjassa alan pyrkimysten kanssa, jotka koskevat todennettavaa suoritusta, kryptografisia vakuuksia, työkuorman identiteettiä ja käytäntö koodina -periaatetta. IBM ja Red Hat ovat osa laajempaa liikettä, johon kuuluvat GitHub CodeQL:n ja artefaktivakuuksien kanssa, Googlen SLSA:n ja Sigstoren käyttöönotto, Microsoftin allekirjoituksen integrointi Azure DevOpsiin ja GitHub Advanced Securityyn sekä CNCF:n yhteistyö Kusarin kanssa. Lightwellin laajennus merkitsee tulevaisuutta, jossa ohjelmistotietoturva nojaa vähemmän erillisiin työkaluihin ja enemmän kattaviin luottamusarkkitehtuureihin, jotka kattavat koko ohjelmiston elinkaaren.