IBMとRed Hatは10月6日、両社が5月に50億ドルを投じて設立したオープンソースのセキュリティプログラム「Lightwell」が、広く利用されているJavaライブラリに存在する400件以上の未知の脆弱性を発見、修正し、バックポートしたと発表した。また、Lightwell Clearinghouseが一般提供開始となり、企業顧客は特定のオープンソース依存関係をIBMとRed Hatに提出して優先的に審査を受け、運用中の旧バージョンに適用できる修正プログラムを入手できるようになった。
両社は、400という数字を特定の脅威、すなわち、異なるライブラリに存在する複数の軽微な脆弱性を連鎖させて深刻な攻撃を引き起こすことができる自律型AIエージェントに結びつけている。スキャナーは通常、これらのCVEを検出するものの、本番環境で使用されているライブラリの正確なバージョンに一致する修正プログラムを提供しないため、リスクはそのまま残ってしまう。Lightwellの解決策は、IBMとRed Hatのエンジニアにバグを発見させ、バージョン固有のパッチを作成し、エンタープライズアプリケーションが依然として依存している古い依存関係リリースにバックポートさせることだ。
「AIエージェントは、古い依存関係を機械のスピードで悪用することで、脅威の状況を一夜にして変えました」と、Red HatのLightwell担当副社長兼ゼネラルマネージャーであるグンナー・ヘレクソン氏は述べています。「AIエージェントは、コードベースが10年前のものであろうと、安定していると見なされていようと気にしません。なぜなら、小さな脆弱性が1つあれば、攻撃を連鎖させることができるからです。これらのバグを見つけることは戦いの半分に過ぎません。本当の仕事は、修正プログラムを稼働中の本番アプリケーションに直接バックポートし、顧客がセキュリティと稼働時間のどちらかを選択する必要がないようにすることです。」
AI支援によるバックポートとアップストリームパッチ開示アーキテクチャ
Lightwellは、Red HatとIBMのオープンソースエンジニアリング、Red Hatのコミュニティとの関係、AIを活用したエンジニアリングワークフロー、そしてRed Hatのセキュアなソフトウェアサプライチェーンとビルドインフラストラクチャを組み合わせたソリューションです。その結果として、デプロイされた依存関係に対するバージョン固有の修正プログラムが、顧客の既存のスキャナ、アーティファクトリポジトリ、CI/CDパイプライン、テストプロセスに統合可能なセキュアなリポジトリを通じて提供されます。そのため、パッチを適用するためにビルドチェーン内の何も置き換える必要はありません。
このプログラムには、顧客向けの機能が2つあります。1つ目はLightwell Networkで、ITチームが検証済みのパッチを取得し、継続的な修復プロセスを設定します。2つ目は、現在一般提供されているLightwell Clearinghouseで、顧客が対処が必要なオープンソースの脆弱性や依存関係を指定すると、IBMとRed Hatがそれをレビューし、修復を行い、現在使用されている古いバージョン向けの修正プログラムを作成します。修正プログラムが上流プロジェクトに適用できる場合は、責任ある情報開示の下でオープンソースプロジェクトに還元され、その間、Clearinghouseの参加者には情報公開の制限が設けられます。
プラットフォームの可用性とアップストリーム配信
Clearinghouseは現在利用可能ですが、IBMとRed Hatは価格を発表しておらず、どのLightwellティアにClearinghouseが含まれているかも明らかにしていません。400件の脆弱性は、広く使用されている本番環境レベルのJavaライブラリに及ぶとされていますが、両社はライブラリ名やCVE識別子を公表していません。Lightwellは7月に商用リリースされ、パートナー企業は9月に取り上げたLTM修復プラクティスを含む、Lightwell上でサービスの構築を開始しています。
Amazon