IBM e Red Hat Expandem o Lightwell para Construir Cadeias de Suprimentos de Software Confiáveis para a Era da IA

A IBM e a Red Hat anunciaram a expansão do Lightwell, apresentando uma nova oferta comercial destinada a ajudar organizações a construir cadeias de suprimentos de software confiáveis e verificáveis na era do desenvolvimento de software assistido por IA. O produto se baseia no projeto open-source Lightwell e é projetado para simplificar a assinatura de software, o rastreamento de proveniência, a verificação de artefatos e a aplicação de políticas, garantindo que o software — seja gerado por humanos ou por IA — seja confiável em todo o ciclo de vida de entrega. O Lightwell consolida múltiplos padrões de segurança emergentes, incluindo Sigstore, in-toto, SLSA e SBOM, em uma plataforma coesa que integra assinatura, rastreamento de proveniência e aplicação de políticas, em vez de tratá-los como atividades separadas. O produto comercial expandido fornece capacidades como assinatura de artefatos, geração de proveniência, verificação de políticas e gerenciamento de ciclo de vida, permitindo que organizações implementem segurança na cadeia de suprimentos sem montar componentes open-source fragmentados. Essa mudança reflete uma tendência mais ampla na engenharia de software, onde a confiança se torna um atributo que acompanha o software do desenvolvimento à implantação, em vez de uma verificação de segurança final antes do lançamento. À medida que agentes de IA geram código cada vez mais, modificam infraestrutura e participam da entrega de software, as organizações precisam de mecanismos para verificar qual identidade executou cada ação e sob quais políticas, alinhando-se aos esforços da indústria em torno de execução verificável, atestações criptográficas, identidade de carga de trabalho e política-como-código. A IBM e a Red Hat fazem parte de um movimento mais amplo, incluindo GitHub com CodeQL e atestações de artefatos, a adoção de SLSA e Sigstore pelo Google, a integração da Microsoft de assinatura no Azure DevOps e no GitHub Advanced Security, e a colaboração da CNCF com a Kusari. A expansão do Lightwell significa um futuro em que a segurança do software depende menos de ferramentas isoladas e mais de arquiteturas de confiança abrangentes que abrangem todo o ciclo de vida do software.