Guillem Alsina Gonzàlez
Depois de, no final do passado mês de junho, e em conjunto com a Palo Alto Networks, a Red Hat e a IBM terem anunciado a expansão do Project Lightwell, a sua iniciativa para detetar falhas de segurança no código-fonte de aplicações de código aberto que sustentam a infraestrutura da Internet, estas duas últimas empresas anunciam agora a disponibilidade comercial do projeto, que é lançado no mercado com duas soluções.
Tecnicamente, a plataforma Lightwell utiliza um motor de correção generativo baseado em inteligência artificial que combina modelos automatizados com a supervisão técnica de engenheiros humanos, contando com uma equipa global composta por mais de 20 000 engenheiros.
Este sistema identifica e aplica correções críticas de forma retroativa diretamente a versões específicas de software em produção, evitando testes de regressão extensos ou interrupções operacionais decorrentes de atualizações forçadas do código.
Além disso, este sistema funciona segundo um modelo em que as correções de segurança são reenviadas aos projetos de código aberto de origem para revisão, o que permite melhorar o estado geral da comunidade sem expor os ambientes de produção a falhas de dia zero.
A presente oferta comercial está estruturada em duas soluções principais. A primeira, Lightwell Network, que já se encontra disponível de forma geral, proporciona acesso a um catálogo inicial de mais de 6 500 dependências corrigidas e certificadas para ambientes como Java e Python.
Os assinantes desta modalidade recebem fluxos contínuos de binários assinados digitalmente e documentação de conformidade, incluindo inventários completos de materiais de software (SBOMs), que se integram nos processos informáticos já existentes sem alterar o código próprio da empresa.
A segunda solução, Lightwell Clearinghouse Premier, foi concebida como um intermediário de confiança para gerir o bloqueio de patches e coordenar respostas a ameaças, tendo entrado numa fase de disponibilidade comercial limitada.
Embora a sua implementação inicial esteja restrita a um setor prioritário, devido à sua sensibilidade, como o financeiro, prevê-se que esta modalidade se expanda, em fases posteriores, a outros setores de infraestruturas críticas, como a administração pública, a saúde e as telecomunicações, sempre de acordo com critérios de qualificação, devido à complexidade dos quadros legais exigidos.
A implementação destas capacidades de segurança conta com o apoio de uma vasta rede de parceiros tecnológicos e de implementação para garantir que as correções sejam aplicadas simultaneamente em ambientes heterogéneos, atualizando regras de rede e fluxos na nuvem ao mesmo tempo.
O ecossistema de parceiros desta iniciativa envolve empresas como a AWS, a AMD, a F5, a GitLab, a Intel, a JFrog, a Microsoft, a NVIDIA, a Palo Alto Networks e a ServiceNow. No âmbito da estratégia e da implementação, as empresas podem recorrer aos serviços de integração de empresas como a IBM Consulting, a Red Hat Consulting, a Accenture, a Atos, a Cognizant, a Deloitte, a EY, a HCLTech, a Infosys, a Kyndryl, a LTM, a NTT DATA, a Tata Consultancy Services e a Tech Mahindra.
A direção da Red Hat e da IBM sublinha que esta combinação de automatização e colaboração empresarial é indispensável para fornecer patches certificados numa escala que a maioria das organizações não conseguiria assumir individualmente.
De acordo com o comunicado conjunto emitido pela IBM e pela Red Hat, o software de código aberto constitui atualmente até 90% do código empresarial, atingindo 9,8 mil milhões de downloads até ao ano de 2025. A proliferação de ferramentas de inteligência artificial reduziu o custo operacional da criação de programas maliciosos para cerca de 50 dólares, o que sobrecarregou os sistemas tradicionais de gestão de patches e fez com que os códigos-fonte apresentassem, em média, 581 vulnerabilidades.
Representantes de empresas de análise, como a IDC, salientam que os setores sujeitos a uma elevada regulamentação, como os serviços financeiros, assumem custos elevados de conformidade regulamentar e necessitam de medidas de segurança robustas para os seus componentes de código aberto, com o objetivo de manter a continuidade operacional e a confiança nos seus serviços.
