IBM und Red Hat haben mit Lightwell eine neue Plattform vorgestellt, die Sicherheitslücken in Open-Source-Software automatisiert aufspüren und beheben soll. Die Lösung kommt in zwei Varianten auf den Markt: Lightwell Network und Lightwell Clearinghouse Premier. Beide richten sich an Unternehmen, die ihre bestehenden Softwareumgebungen absichern wollen, ohne dafür produktive Systeme grundlegend umzubauen.

Im Kern geht es darum, Schwachstellen zu schließen, ohne disruptive Upgrades oder aufwendige Versionswechsel zu erzwingen. Genau das gilt in vielen IT-Abteilungen als eines der größten Hindernisse bei der Absicherung von Open-Source-Komponenten.

Wie die KI-gestützte Remediation-Engine funktioniert

Technisch basiert Lightwell auf einer KI-gestützten Remediation-Engine. Sie erkennt, validiert und behebt Sicherheitslücken automatisiert und kombiniert dabei generative KI-Modelle mit menschlicher Engineering-Expertise.

Besonders im Fokus stehen tief eingebettete Softwareabhängigkeiten, wie sie in modernen Anwendungen häufig vorkommen und die klassische Scanner oft nur schwer erfassen. Die Pipeline liefert dabei auch Sicherheitsupdates für bereits im Einsatz befindliche Softwareversionen. Unternehmen sollen dadurch nicht gezwungen sein, bei jeder Schwachstelle gleich auf eine neue Hauptversion umzusteigen, was Risiko und Aufwand für Versionswechsel reduzieren soll.

Zwei Angebote für unterschiedliche Einsatzszenarien

Lightwell Network bringt einen Katalog von mehr als 6.500 geprüften, digital signierten und zertifizierten Open-Source-Komponenten mit. Dazu gehören Quellcode sowie Compliance-Unterlagen wie Software Bills of Materials, kurz SBOMs, die Transparenz über verwendete Bibliotheken schaffen.

Lightwell Clearinghouse Premier setzt dagegen auf koordinierte Zusammenarbeit bei sicherheitskritischen Bedrohungen. Die Variante richtet sich zunächst gezielt an Unternehmen aus der Finanzbranche und soll die gemeinsame Entwicklung sowie Bereitstellung von Security-Fixes für betroffene Softwareversionen erleichtern.

Rückgabe an die Open-Source-Community als Prinzip

Bei der Entwicklung der Patches folgt Lightwell dem sogenannten „upstream-always“-Prinzip von Red Hat. Behobene Schwachstellen und entwickelte Patches fließen demnach weiterhin zurück in die jeweiligen Open-Source-Projekte.

Damit will das Unternehmen zwei Ziele miteinander verbinden: den Schutz produktiver Unternehmensumgebungen und die langfristige Weiterentwicklung der Open-Source-Community. Für Anwender soll so eine verlässlichere Grundlage für den Einsatz quelloffener Software entstehen, ohne dass sich der Sicherheitsgewinn zulasten der Community auswirkt.