Red Hat a IBM převádějí pravidla pro AI do kódu. Univerzity získají Lightwell zdarma

V praxi tak cílí na mezeru mezi týmy compliance, datovými vědci a správci infrastruktury. Zatímco první skupina pracuje s pravidly a povinnostmi, technické týmy potřebují konkrétní testy, ochranná opatření a konfigurační soubory pro produkční prostředí .

Jak má workflow fungovat

asago nabízí automatizovaný a auditovatelný postup, který propojuje jednotlivé kroky práce technických a compliance týmů :

• načte dokumenty s pravidly pro řízení AI,
• pomocí IBM AI Risk Atlas přiřadí jednotlivé požadavky k uznávaným rámcům rizik, jako jsou NIST AI RMF, OWASP LLM Top 10 nebo EU AI Act ,
• vygeneruje bezpečnostní testy odpovídající zjištěným rizikům,
• navrhne jejich zmírnění,
• převede doporučení do konfigurací připravených pro nástroje jako Kubernetes, Terraform a Ansible .

Důležitou součástí je auditní stopa. Každý krok má být zdokumentován tak, aby bylo možné propojit konkrétní ustanovení interní politiky s testem nebo provozní kontrolou. Auditor či jiný hodnotitel tak může dohledat, proč byla určitá ochrana do systému nasazena . Red Hat uvádí, že cílem je zkrátit cyklus nasazování z měsíců na dny .

Na jaké standardy se projekt zaměřuje

asago je navržen s ohledem na tři významné zdroje požadavků:

• NIST AI RMF – rámec amerického Národního institutu pro standardy a technologie pro řízení rizik AI,
• OWASP LLM Top 10 – přehled nejvýznamnějších bezpečnostních rizik spojených s velkými jazykovými modely,
• EU AI Act – evropský právní rámec pro umělou inteligenci .

Smyslem není tyto standardy nahradit, ale propojit jejich požadavky s konkrétními technickými procesy a kontrolami.

Kdo se na asago podílí

Zakládající koalice zahrnuje :

• Red Hat, který projekt vede,
• IBM Research,
• Microsoft,
• NVIDIA,
• MIT Lincoln Laboratory,
• North Carolina State University,
• The Alan Turing Institute,
• Alquimia AI,
• Brave Software,
• EvalEval coalition,
• Interdisciplinary Transformation University Austria.

Další organizace se podle oznámení mohou připojit s tím, jak se projekt bude rozvíjet. asago vzniká pod licencí Apache 2.0. V počáteční fázi je jeho kód dostupný na GitHubu vývojářům, akademickým výzkumníkům a firmám, které si jej chtějí prohlédnout nebo s ním experimentovat .

Lightwell zdarma pro univerzity a neziskový sektor

Druhá část oznámení se týká platformy Lightwell. IBM a Red Hat uvedly, že způsobilé univerzity, nevládní organizace a think-tanky získají k platformě bezplatný přístup. První registrace a zapojování institucí začaly v srpnu 2026 .

Lightwell využívá generativní AI společně s inženýry IBM a Red Hatu. Vyhledává zranitelné závislosti v open source softwaru, navrhuje opravy a následně je technicky ověřuje .

Co Lightwell institucím nabídne

Účastníci programu mají získat:

• ověřené opravy zranitelností v open source softwaru,
• digitálně podepsaný zdrojový kód a binární soubory,
• SBOM neboli přehled komponent obsažených v softwaru (Software Bill of Materials),
• dokumentaci ke shodě s požadavky,
• opravy pro verze softwaru, které už běží v produkci .

Poslední bod je významný zejména pro výzkumné a veřejně prospěšné instituce, které nemohou každý problém vyřešit okamžitým přechodem na nejnovější hlavní verzi aplikace.

IBM a Red Hat také zdůrazňují, že zapojené organizace si ponechají kontrolu nad důvěrnými informacemi. Lightwell má fungovat v prostředí dané instituce a nevyžaduje přístup k neveřejnému zdrojovému kódu, výzkumu ani soukromým datům .

Opravy se mají řídit přístupem „upstream vždy“. To znamená, že jsou předkládány původním open source komunitám k posouzení, aby z nich mohli těžit i další uživatelé mimo program .

Rozsah programu

Počet verzí balíčků, pro které Lightwell poskytuje ověřené a opravené varianty, vzrostl přibližně z 6 500 na více než 8 000. Součástí jsou také opravy 64 dosud nezveřejněných zranitelností .

Bezplatný program se zpočátku týká více než 185 výzkumných univerzit a 100 nevládních organizací a think-tanků ve Spojených státech . Oznámení tedy nemluví o plošné dostupnosti pro všechny vzdělávací instituce nebo neziskové organizace, ale o konkrétním seznamu způsobilých amerických organizací.

Proč firmy řeší governance i open source bezpečnost současně

Obě iniciativy zapadají do širšího posunu v přístupu k bezpečnosti AI. Organizace už neřeší jen to, zda model generuje přesné odpovědi. Musí také kontrolovat, s jakými daty pracuje, jaké nástroje používá, jak se chová autonomní agent a zda lze jeho rozhodování a ochranná opatření zpětně doložit.

Největší výzvy zahrnují:

• Rizika open source závislostí: AI aplikace stojí na velkém množství knihoven a balíčků. Zranitelnost v jediné komponentě se může přenést do řady navazujících systémů .
• Rozdíl mezi politikou a technikou: Obecné zásady, například požadavky vyplývající z evropského aktu o AI, musí někdo převést do testů a nastavení, která lze provozovat a auditovat. Právě tuto roztříštěnost má řešit asago .
• Omezené kapacity veřejně prospěšných institucí: Univerzity a neziskové organizace často nemají dostatek rozpočtu ani bezpečnostních specialistů pro průběžnou kontrolu všech svých open source komponent .
• AI jako nástroj obrany i útoku: Stejné schopnosti, které obráncům pomáhají rychleji hledat chyby, mohou útočníkům usnadnit objevování a zneužívání zranitelných systémů .

Steven Huels, viceprezident Red Hatu pro AI engineering, uvedl, že při přechodu od experimentálních pilotních projektů k dlouhodobě provozovaným autonomním agentům se jasná provozní omezení stávají „požadavkem kritické infrastruktury“ .

Součást širší sázky na bezpečnost AI

Novinky navazují na závazek 5 miliard dolarů pro Project Lightwell, který IBM a Red Hat oznámily v květnu 2026 . Ten počítá také s globálním týmem více než 20 000 inženýrů, kteří mají s podporou AI ověřovat a opravovat zranitelnosti v open source softwaru .

Red Hat se zároveň stal zakládajícím členem iniciativy Open Secure AI Alliance, kterou spustila NVIDIA. Aliance se zaměřuje na otevřené nástroje a postupy pro ochranu celého AI stacku – od modelů s otevřenými váhami po infrastrukturu autonomních agentů .

Společným jmenovatelem těchto projektů je snaha přesunout bezpečnost od obecných prohlášení a jednorázových kontrol k opakovatelným, ověřitelným a pokud možno automatizovaným procesům. Výsledek ale bude záviset i na tom, zda se k projektům připojí širší komunita a zda budou vytvořené opravy a pravidla přijaty v praxi. Jak shrnula Sarah Bird z Microsoftu, bezpečnostní a bezpečnostní výzvy spojené s AI nedokáže vyřešit jediná organizace .