TrueSource من برودكوم: طبقة ثقة بشرية لحماية البرمجيات مفتوحة المصدر

أعلنت برودكوم خلال مؤتمر VMware Explore 2026 في لاس فيغاس عن TrueSource by Broadcom، وهي محفظة من البرمجيات مفتوحة المصدر المدعومة تجارياً والمبنية بطريقة قابلة للتحقق، وموجهة إلى مستخدمي الشركات. وتجمع المبادرة بين Spring، ومجموعة أوسع من مكونات البرمجيات، وصور الحاويات، ومحركات البيانات ضمن استراتيجية واحدة للدعم والأمان. 13

رسالة المنتج واضحة: يمكن للذكاء الاصطناعي أن يساعد في اكتشاف الثغرات واقتراح الرقع، لكن المهندسين المسؤولين يجب أن يتحققوا من الكود، وطريقة البناء، والتأثير التشغيلي قبل اعتماد أي إصلاح في بيئة الإنتاج.

ماذا تتضمن TrueSource؟

تتكون TrueSource من ثلاثة عروض مدعومة تجارياً:

1. Spring Enterprise

يستهدف Spring Enterprise المؤسسات التي تشغّل منظومة Spring. ويوفر إصدارات منتقاة من Spring، من الفريق الذي يطوّر المنظومة ويصونها، إلى جانب الفحص الاستباقي للتبعيات، والرقع التي يتحقق منها مهندسون، وتنسيق الإصلاحات عبر خطوط الإصدارات المدعومة. 13

وتكتسب هذه المقاربة أهمية خاصة للفرق التي تعتمد تطبيقاتها على شبكة كبيرة من المكتبات غير المباشرة. فبدلاً من التعامل مع كل ثغرة كتحديث منفصل لحزمة واحدة، تقدم برودكوم Spring Enterprise كخدمة لإدارة الإصدارات والمعالجة الأمنية مرتبطة بالمنظومة الأصلية ومشرفيها.

2. TrueSource Trusted Artifacts

يوسّع TrueSource Trusted Artifacts هذا النهج إلى ما هو أبعد من Spring. وتقول برودكوم إنه يوفر مكونات مبنية في بيئة معزولة وفق المستوى الثالث من معيار SLSA للبناء (SLSA Build Level 3) لأكثر من 5,000 مكتبة Java موثقة، مع تغطية إضافية لمنظومات Java وPython وNode.js. كما يتضمن مواءمة دقيقة لإصدارات Spring Boot وصور حاويات Bitnami محصّنة. 13

وبالنسبة إلى فرق المنصات والأمان، تتمثل القيمة الأساسية في معرفة مصدر المكونات واتساقها: إذ تُبنى في بيئة خاضعة للرقابة، وتُطابق إصدارات برمجية مدعومة، وتُطرح كبديل موثوق لسحب التبعيات غير الموثقة من سلسلة توريد مجزأة.

3. TrueSource Data Services

يغطي TrueSource Data Services أربعة محركات بيانات واسعة الاستخدام: PostgreSQL وRabbitMQ وMySQL وValkey. وتصف برودكوم العرض بأنه يجمع بين المكونات الموثوقة، والدعم التجاري، وخبرة النشر، والأتمتة، وأدوات إظهار الوضع الأمني أو لوحات متابعة المخاطر. 13

وهذا يجعل TrueSource أوسع من كونها منتجاً لأمان المكتبات البرمجية؛ فهي تستهدف أيضاً العبء التشغيلي المرتبط بنشر بنية البيانات مفتوحة المصدر وتحديثها ومراقبتها داخل بيئات الشركات.

كيف تُرخَّص TrueSource؟

تُطرح العروض عبر خيارات ترخيص مؤسسي متدرجة على مستوى الموقع. وتقول برودكوم إن النموذج التجاري يضيف الدعم، والتحقق، وإمكانية الوصول إلى خدمات المعالجة، والخبرة التشغيلية، من دون تغيير تراخيص المصدر المفتوح الأساسية. كما يمكن للعملاء المؤهلين الذين يملكون تراخيص صحيحة لمنتجاتهم إحالة بعض الثغرات غير العامة إلى برودكوم للحصول على وصول مبكر إلى الإصلاحات. 13

وبعبارة عملية، تدفع المؤسسات مقابل المساءلة وخدمات دورة حياة البرمجيات مفتوحة المصدر، لا مقابل امتلاك الكود المجتمعي الأساسي.

لماذا تقول برودكوم إن مشكلة سلسلة توريد البرمجيات تتفاقم؟

قدمت برودكوم TrueSource في سياق الضغوط المتزايدة على المؤسسات لتأمين التبعيات، والحاويات، وخدمات البيانات الموجودة داخل تطبيقاتها. واستشهدت الشركة بارتفاع مُعلن بأكثر من 1,700% في عدد التنبيهات الأمنية الشهرية الخاصة بـSpring بوصفه مثالاً على حجم أعمال المعالجة التي تواجه مستخدمي المنظومة. 3

وتجمع المقاربة التي تقترحها برودكوم بين عدة طبقات:

• مكونات وإصدارات يختارها مهندسون؛
• عمليات بناء معزولة وقابلة للتحقق؛
• تحليل آلي للمستودعات ونطاق التأثير؛
• طلبات سحب تتضمن إصلاحات مقترحة؛
• المساهمة بالإصلاحات في المشروع الأصلي بدلاً من إبقائها كحلول منفصلة؛
• ولوحات تعرض مستوى التعرض الذي جرى حله وما تبقى منه. 13

ولا يقتصر التركيز على إنتاج رقعة بسرعة. فتقول برودكوم إن الهدف هو فهم أماكن استخدام الثغرة، واختيار مسار معالجة أقل خطورة، والتحقق من النتيجة، وإبقاء الإصلاح مرتبطاً بالمشرفين على المشروع.

لماذا تظل المراجعة البشرية محور استراتيجية الذكاء الاصطناعي؟

لا ترفض برودكوم العمل الأمني المدعوم بالذكاء الاصطناعي، لكنها تميز بين استخدام النماذج لتسريع التحليل وبين السماح لكود مولّد بأن يتحول إلى إصلاح إنتاجي من دون مراجعة.

واستشهدت الشركة باختبارات أجرتها Off-by-1 Labs التابعة لـ 1Password، خلصت فيها إلى أن 26% فقط من أصل 6,000 رقعة مولّدة بالذكاء الاصطناعي نجحت في إصلاح الثغرة من دون تعطيل التطبيق. 3 كما قالت برودكوم إن مهندسيها استخدموا أكثر من 12 مليار رمز من نماذج الذكاء الاصطناعي المتقدمة خلال خمسة أشهر لتحليل Spring، مع مراجعة يدوية لكل إصلاح مقترح. 3

وهذا يلخص نموذج التشغيل الذي تركز عليه برودكوم:

صيانة بمساعدة الذكاء الاصطناعي، ومعالجة يوافق عليها الإنسان.

يمكن للنماذج فحص رسم بياني كبير للتبعيات، وتحديد المسارات التي يُحتمل أن تكون معرضة للخطر، واقتراح تغييرات في الكود. لكن المهندسين يظلون مطالبين بتقييم التوافق، والأداء، وقابلية الاستغلال، ومخاطر التراجع، وصحة حزمة الإصدار النهائية. 3

القلق من التفرعات المولّدة بالذكاء الاصطناعي

ترى برودكوم أن التفرع السريع الذي يُنشأ بالذكاء الاصطناعي قد يعالج ثغرة عاجلة، لكنه قد يخلق مشكلة صيانة أطول أمداً. فإذا لم تتم صيانة التفرع، فقد يبتعد عن المشروع الأصلي، ويفوّت إصلاحات أمنية لاحقة، ويترك المستخدمين أمام غموض بشأن الجهة المسؤولة عن المكون البرمجي. 23

وتُبنى TrueSource على النموذج المقابل: التعاون مع مشرفي المشاريع، والمساهمة بالإصلاحات في المصدر الأصلي حيثما كان ذلك مناسباً، والتحقق من طريقة بناء المكونات، وتوفير جهة تجارية تدعم البرمجيات الناتجة. 13

وهذا فارق مهم للمشترين من المؤسسات. فقد يقلل الذكاء الاصطناعي الوقت اللازم للتحقيق وإعداد الإصلاح، لكنه لا يثبت وحده مصدر المكون، أو توافقه، أو رعايته على المدى الطويل، أو الجهة المسؤولة عندما تتسبب رقعة ما في عطل داخل بيئة الإنتاج.

ماذا يعني الإعلان لفرق التقنية في المؤسسات؟

يمنح الهيكل الثلاثي لـTrueSource نقاط دخول واضحة للفرق المختلفة:

• فرق Spring تحصل على إصدارات منتقاة ودعم أمني عبر Spring Enterprise.
• فرق المنصات وأمن التطبيقات تحصل على مكونات موثقة عبر منظومات البرمجة الرئيسية وصور حاويات محصّنة من خلال Trusted Artifacts.
• فرق البنية التحتية تحصل على توزيعات مدعومة، وأتمتة للنشر، ورؤية أمنية لمحركات PostgreSQL وRabbitMQ وMySQL وValkey عبر Data Services. 13

والخلاصة الأوسع هي أن برودكوم تبيع طبقة ثقة مُدارة حول البرمجيات مفتوحة المصدر. وتتمثل فرضيتها المعلنة في أن برمجيات المؤسسات تحتاج إلى أكثر من مجرد الوصول إلى الكود المصدري؛ فهي تحتاج إلى عمليات بناء قابلة للتحقق، ومشرفين يواصلون المشاركة، ومعالجة مختبرة، وعلاقة دعم واضحة تحدد الجهة المسؤولة.

ولا تتضمن التقارير المتاحة اقتباساً مباشراً من كاتي نورتون من IDC، لذلك لا يمكن التحقق من توصيف دقيق منسوب إليها. لكن الأدلة تدعم الخلاصة الأوسع التي يعكسها الإعلان: يُقدَّم الذكاء الاصطناعي كعامل مضاعف لكفاءة الصيانة، بينما يظل الحكم الهندسي البشري نقطة التحكم في قرارات الأمان داخل بيئة الإنتاج. 3