IBM 和 Red Hat 将 Lightwell 产品化以强化开源安全
ZDNET AI··作者 Steven Vaughan-Nichols
关键信息
Lightwell Network 目前已正式提供，能够向现有流水线交付签名二进制文件、源代码、合规材料和完整的 SBOM，而且不会造成代码漂移。Lightwell Clearinghouse Premier 最初仅面向金融服务行业，主要用于受保护的漏洞协作、封锁期补丁和针对特定版本的定向修复。
资讯摘要
IBM 和 Red Hat 宣布，Project Lightwell 已经从愿景阶段走向产品化，成为一项面向开源安全的 AI 驱动计划。公司表示，这项工作背后有一项价值 50 亿美元的 AI 计划支持，并由 20,000 名工程师参与。Lightwell 的目标是在工业级规模上发现并修复开源软件漏洞。厂商认为，AI 正在同时改变攻防两端：开发者可以更快构建软件，但攻击者也能更快发现并利用漏洞。为应对这一变化，Lightwell 被设计为自动识别、验证并修复现代软件架构中关键依赖里的问题。
IBM 和 Red Hat 还称，这套修复引擎已经在运行并能大规模工作，它把前沿 AI 模型与人工工程经验结合起来。它的一个核心卖点是可以直接把关键修复回移到长期运行的生产版本，而不是要求客户频繁追随上游升级，因为那样往往会带来回归问题或兼容性破坏。Lightwell Network 是面向更广泛用户的产品，而 Lightwell Clearinghouse Premier 则从有限开通开始，首批聚焦金融服务行业。公司表示，后者用于受信任的漏洞协作、延迟披露补丁以及跨行业的深度协作，未来还可能扩展到政府、医疗和电信领域。
资讯正文
关注 ZDNET：将我们添加为 Google 的首选来源。ZDNET 的核心要点：Lightwell 现在是一项用于开源 AI 防御的服务。Akrites 和 Athena 采取了类似的方法。AI 驱动的攻击需要 AI 驱动的防御者。
对于软件开发者来说，AI 既是祝福也是诅咒。一方面，AI 让开发者比以往任何时候都能更快地构建程序。另一方面，AI 也让黑客能够更快地发现并利用安全漏洞。
为应对这一问题，IBM 和 Red Hat 推出了 Project Lightwell。
在一项价值 50 亿美元的 AI 驱动计划支持下，Lightwell 的任务是以工业规模发现并修复开源软件中的漏洞。如今，它已经从一个项目转变为产品：Lightwell Network 和 Lightwell Clearinghouse Premier。
另请参阅：开源安全一团糟——IBM 和 Red Hat 押注 50 亿美元和 20,000 名工程师能解决它
Lightwell Network 目前已正式可用，而 Lightwell Clearinghouse Premier 正进入有限可用性的入驻阶段。根据两家公司所述，“Lightwell 现在将这种经过验证的企业级防护扩展到组织的整个软件组合。”这两项服务都为企业提供了保护开源组件的方式，而不仅仅是那些随 Red Hat 和 IBM 产品一同交付的组件。
开源安全加速版
两家公司都强调，这与其说是一种全新的方法，不如说是一个由 AI 和 20,000 名工程师支持的、超强版开源超级项目。它是“一种建立在数十年信任之上的模式，在这一模式下，Red Hat 已为全球数千家客户保护了最关键的系统”，并将这种能力扩展到软件技术栈中更大范围的部分。
该产品的核心，是双方所描述的“一个由生成式 AI 驱动的补救引擎的高吞吐能力，该引擎已经上线并在大规模运行”。这条自动化流水线“将前沿 AI 模型与人工工程专业知识结合起来，以识别、验证并修复深植于现代软件架构中的关键依赖项中的漏洞”。
另请参阅：IBM 说它能在一颗芯片上容纳近 1000 亿个晶体管——为何这一里程碑意义重大
与其要求客户不断追逐上游版本，Lightwell“利用自动化直接将关键修复回移到精确的、长期运行的生产软件版本中，从而帮助解决那些常常使团队因必须采用重大上游升级而陷入停滞的漫长回归测试和破坏性变更问题。”
首款新产品 Lightwell Network 提供“对一个活跃且不断增长的内容库的即时访问，该内容库覆盖从最新到遗留的库，并包含高价值修复”。成员可获得“一条持续不断的数字签名二进制文件、源代码以及全面合规材料的流，其中包括完整的软件物料清单（SBOM），这些内容会直接交付到现有流水线中，而且不会产生代码漂移。”第二款产品 Lightwell Clearinghouse Premier 则“旨在作为深度行业协作、高级垂直威胁协调以及受保护补丁禁运的可信中介。”最初，Lightwell Clearinghouse Premier 将仅面向金融服务行业。
参与组织可以提交漏洞，并请求在受保护的禁运窗口内进行“定向版本修复”。如果成功，这一模式将扩展到政府、医疗保健和电信领域。
Lightwell 如何改变补丁修复的格局
IBM 和 Red Hat 明确表示，他们的目标是修复一种在廉价 AI 驱动攻击时代已经失效的补丁修复模式。面对开源软件“支撑着企业软件运行”的现实，他们认为，“海量规模以及 50 美元的 AI 生成漏洞利用已经破坏了传统补丁管理”。两家公司称，Lightwell 旨在通过评估应用上下文和依赖关系交互，来缓解这一未被映射的风险，并消除执行瓶颈，直接把经过验证的修复交付到正在运行的工作流中。
正如 Red Hat 总裁兼首席执行官 Matt Hicks 所说：“Lightwell 代表着我们保护所有企业软件方式的一次根本性结构转变。通过将自动化修复与我们深厚的工程传统相结合，我们旨在提供可信赖的基础设施，使人们能够以可靠、可持续且与前沿模型速度相匹配的方式使用开源软件。”
另请参阅：陷在 AI 试点模式里？IBM 有一套帮助你扩展规模的解决方案——而且无需把一切推倒重来
IBM 软件高级副总裁兼首席商务官 Rob Thomas 则强调了“我们替你做繁重工作”这一角度。他说：“IBM 和 Red Hat 正在为企业提供经过认证的修复方案，这些修复可以直接拉入他们已经在运行的系统中，无需重新改造，也不会造成中断，并且背后还有不断壮大的技术和交付合作伙伴网络支持。”
Lightwell 也高度依赖 Red Hat 的“始终回到上游”模式。根据公告，“安全修复会主动提交回最初的开源社区，供审查和接受”，其目的在于确保“商业保护和社区健康持续相互强化，在不让生产环境中的零日漏洞承担风险的前提下，防止项目碎片化”。
这听起来不错，但 IBM 和 Red Hat 并不是唯一试图利用 AI 来防御开源代码、对抗 AI 驱动攻击者的公司。
Akrites 的定位
Lightwell 并不是孤立存在的。Linux Foundation 联合行业合作伙伴，最近推出了 Akrites，以防御关键开源软件免受 AI 赋能威胁。Akrites 通过加固关键开源项目，来缓解开源软件供应链风险。它的做法是为维护者和使用者如何就严重漏洞进行协调建立一个通用框架。与商业服务 Lightwell 不同，Akrites 是一项由基金会治理的工作，重点在于项目自身的流程与协调。其目标是为维护者和关键基础设施使用者提供一种保密、结构化的方式来处理 AI 发现的漏洞，将漏洞修复和披露标准化，而不是为企业单独提供回移植补丁。
另请参阅：Red Hat Desktop 还是 Fedora Hummingbird：哪条 AI 开发 Linux 路径更适合你？
这些界限已经在变得模糊。
在 Lightwell 的公告中，微软独立软件供应商（ISV）合作伙伴开发副总裁 Sandy Gupta 直接指出了这一交汇点：“向客户交付补丁的速度至关重要。我们已经在与 IBM 和 Red Hat 一起作为 Linux Foundation 的 Akrites 计划的一部分开展合作，现在又将这种合作延伸到 Lightwell，以确保关键修复能通过最快的交付机制和工具尽快送达客户。” 实际上，Akrites 旨在塑造关键开源项目在 AI 加速的世界里如何处理漏洞，而 Lightwell 则为企业提供一种在合同保障下获取这些修复以及 IBM/Red Hat 工程化回移补丁（backports）的方式。
Chainguard 的 Athena 位于这场快速推进的安全竞赛中的另一个角落。Athena 是一个保护开源软件免受 AI 攻击的行业联盟。它面向前沿模型时代，在这个时代里，AI 系统发现严重缺陷的速度可能比任何人修补的速度都快。
与 Lightwell 类似，Athena 也被定位为一种由 AI 驱动的清算中心，但不同的是，它并不是某一家厂商的单一服务，而是汇聚来自“二十多个组织”的漏洞发现和修复工作，其中包括银行、主要基础设施提供商以及开发者。
Athena 已经开始发布早期指标。根据 Chainguard 的说法，“Athena 今天已经在运行。它处理了 40,000+ 条发现，并在 500+ 个开源项目中生成了 2,000+ 个补丁。该联盟使用 AI 在攻击者利用之前发现并修复广泛使用的开源软件中的漏洞。”它的重点是支撑关键系统的库、容器以及其他组件。
此外：你的组织在多大程度上实现了数字主权？这款 Red Hat 工具可以在几分钟内告诉你。
正如 Chainguard 创始人兼 CEO Dan Lorenc 所解释的那样：“Athena 为组织提供了一个场所，用来发现 → 修复 → 保护 → 展示 → 披露前沿 AI 模型正在发现的漏洞。发现来自整个联盟。我们在禁令期内构建修复方案。合作伙伴围绕这些漏洞叠加非补丁式防护。我们把原本会一直不可见的暴露面展示出来。然后将持久的修复方案推进到上游维护者那里，由他们将其永久化。”与 Lightwell 强调将面向企业的回移补丁推送到客户流水线不同，Athena 的工作流从汇集的 AI 发现开始，这些发现会在一个共享清算中心里被“去重、分流和补充信息”，随后联盟成员在漏洞公开之前协作完成补丁和缓解措施。
当尚未有干净补丁可用时，“Athena 会叠加独立防护，即使没有及时补丁，覆盖也能持续存在，并会继续监控每个缺陷，直到建立起稳健的上游解决方案。”随后，这些修复方案会被期望向上游流动，并进入 Chainguard 自身默认安全的制品中，包括最小化、符合 SLSA 标准的镜像和软件包。
面向 AI 时代开源防御的三种模式
综合来看，Lightwell、Akrites 和 Athena 勾勒出三种针对同一根本问题的不同、且越来越相互重叠的应对方式：廉价、快速的 AI 工具能够比传统补丁流程更快地发现并武器化开源公域中的漏洞。另：IBM 表示它能在一颗芯片上容纳近 1000 亿个晶体管——为何这一里程碑意义重大
Akrites 侧重于关键项目的治理和流程，试图标准化维护者和核心用户如何处理由 AI 驱动的漏洞以及处于保密期的补丁。Athena 则将 AI 加速的漏洞研究纳入一个跨行业联盟之中，该联盟共享发现、协调披露前修复，并推动修复向上游回流，同时也将其纳入加固后的供应链工件中。相比之下，Lightwell 则直接面向那些不想大费周章、只想要经过认证的修复、并能直接拉入现有系统而无需重构或扰动的企业。就眼下而言，我们将需要所有这些方案，甚至更多。AI 正在改变开源软件和安全。直到我们找到一条真正保护代码的前进路径之前，我们还需要尝试所有这些方法，并看看哪些最能保护我们以及我们的程序。
来源与参考
收录于 2026-07-09