IBMとRed HatがLightwellを拡張し、AI時代の信頼できるソフトウェアサプライチェーンを構築

IBMとRed Hatは、Lightwellの拡張を発表し、AI支援によるソフトウェア開発の時代に向けて、信頼性が高く検証可能なソフトウェアサプライチェーンを組織が構築できるようにするための新たな商用製品を導入しました。この製品は、オープンソースのLightwellプロジェクトを基盤としており、ソフトウェアの署名、来歴追跡、成果物の検証、ポリシー適用を簡素化し、人間またはAIが生成したソフトウェアが、配信ライフサイクル全体を通じて信頼できることを保証します。Lightwellは、Sigstore、in-toto、SLSA、SBOM（ソフトウェア部品表）など、複数の新しいセキュリティ標準を統合し、署名、来歴追跡、ポリシー適用を個別の活動としてではなく、まとまったプラットフォームとして提供します。拡張された商用製品は、成果物の署名、来歴の生成、ポリシーの検証、ライフサイクル管理などの機能を提供し、組織が断片的なオープンソースコンポーネントを組み立てることなく、サプライチェーンセキュリティを実装できるようにします。この変化は、ソフトウェアエンジニアリングにおける広範なトレンドを反映しています。そこでは、信頼がリリース前の最終的なセキュリティチェックではなく、開発からデプロイまでソフトウェアに付随する属性となっています。AIエージェントがますますコードを生成し、インフラストラクチャを変更し、ソフトウェア配信に参加するにつれて、組織は各アクションがどのアイデンティティによって、どのポリシーの下で実行されたかを検証するメカニズムを必要としています。これは、検証可能な実行、暗号化による証明、ワークロードアイデンティティ、ポリシーアズコードに関する業界の取り組みと一致しています。IBMとRed Hatは、GitHubのCodeQLと成果物の証明、GoogleのSLSAとSigstoreの採用、MicrosoftのAzure DevOpsとGitHub Advanced Securityへの署名統合、CNCFとKusariの協力など、より広範な動きの一部です。Lightwellの拡張は、ソフトウェアセキュリティが孤立したツールに依存するのではなく、ソフトウェアライフサイクル全体にわたる包括的な信頼アーキテクチャに依存する未来を示しています。