Lo scorso giugno abbiamo parlato per la prima volta del progetto Lightwell: uno sforzo condiviso tra IBM e Red Hat che ha visto l’investimento di ben cinque miliardi di dollari per proteggere le supply chain dei software open-source mediante l’investigazione di vulnerabilità, il loro triage, la validazione delle patch e manutenzione a monte. Il tutto assistito da un’imponente struttura AI dedicata allo scopo.
Sulla carta, a far parte del progetto, ci sono 20.000 ingegneri i quali operano all’interno di un centro di scambio denominato Clearinghouse, che funge da centro di coordinamento dove è possibile per l’appunto sfruttare gli strumenti AI potentissimi messi a disposizione da Big Blue.
Pochi mesi dopo, ed arriviamo alla notizia di oggi, all’interno di un blog post pubblicato nella newsroom di IBM, sono stati presentati i primi risultati del progetto: la sistemazione di ben 400 vulnerabilità prima sconosciute relative a librerie Java.
Per “sistemazione” si intende l’intera copertura della supply chain, quindi non solo l’identificazione della problematica, ma anche la loro risoluzione seguendo le modalità tipiche dei contesti open-source. Già, perché il codice sanato è codice open-source.
L’annuncio è interessante perché svela anche dettagli a proposito di come Lightwell Clearinghouse funziona, e cosa fanno i vari attori coinvolti, citando testualmente l’articolo tutto funziona grazie a:
- Competenze di ingegneria open-source di Red Hat e IBM.
- Le solide relazioni di Red Hat con la comunità open-source.
- I flussi di lavoro ingegneristici avanzati assistiti dall’IA
- Le capacità di supply chain software sicura e l’infrastruttura di build di Red Hat.
Da questo ingranaggio derivano le correzioni specifiche per versione e le remediation che vengono distribuite attraverso repository sicuri, ed il livello di integrazione con le infrastrutture in essere non cambia, se ovviamente l’ambiente operativo è quello di Red Hat/IBM.
Come dicevamo nell’articolo di presentazione di Lightwell, un investimento tanto ingente non viene certo fatto per il bene dell’umanità, ma per proporre un prodotto migliore ai clienti attuali: i team IT possono accedere a patch verificate, integrare il software sottoposto a remediation nei propri flussi di lavoro esistenti e stabilire un processo continuo per la gestione delle vulnerabilità.
Quindi, chiaramente, business is business, ma va sottolineato come tutte le correzioni applicabili sviluppate tramite Lightwell vengono contribuite ai progetti open source upstream secondo protocolli di divulgazione responsabile quindi, in poche parole, a beneficiarne è l’intera community open-source.
Come poi dice Gunnar Hellekson, vice president e general manager di Lightwell in Red Hat:
AI agents shifted the threat landscape overnight, exploiting old dependencies at machine speed. They do not care if a codebase is ten years old or otherwise considered stable, because one small crack is all it takes to chain an attack together. Finding those bugs is only half the battle: the real work is backporting fixes directly into active production apps so customers do not have to pick between security and uptime. Finding and neutralizing 400+ novel vulnerabilities so quickly shows how fast Lightwell can move, and we are just getting started.
Gli agenti di IA hanno trasformato il panorama delle minacce nel giro di una notte, sfruttando vecchie dipendenze alla velocità delle macchine. Non importa se un codebase ha dieci anni o è altrimenti considerato stabile, perché basta una piccola crepa per concatenare un attacco. Trovare quei bug è solo metà della battaglia: il vero lavoro consiste nel backportare le correzioni direttamente nelle applicazioni di produzione attive, così che i clienti non debbano scegliere tra sicurezza e continuità operativa. Individuare e neutralizzare oltre 400 vulnerabilità inedite così rapidamente dimostra quanto velocemente possa muoversi Lightwell, e siamo solo all’inizio.
E sottolineo il finale: “siamo solo all’inizio”.
Quindi, così come avviene già per il Kernel Linux, con la la nuova normalità di Torvalds nel dover considerare le correzioni e segnalazioni AI, se c’è una lezione da imparare in tutta questa storia è che non si può più aspettare per adattare le supply chain a questi nuovi ritmi.
L’informatico moderno deve sapere quali e quante vulnerabilità ci sono, valutarle, non rallentare il processo di rilascio delle applicazioni più del necessario e nel contempo cercare di non farsi bucare.
Dura la vita del DevSecOpsAI!
Da sempre appassionato del mondo open-source e di Linux nel 2009 ho fondato il portale Mia Mamma Usa Linux! per condividere articoli, notizie ed in generale tutto quello che riguarda il mondo del pinguino, con particolare attenzione alle tematiche di interoperabilità, HA e cloud.
E, sì, mia mamma usa Linux dal 2009.
