AntwortenVeröffentlicht13 Quellen
Broadcom setzt bei TrueSource auf geprüfte Open-Source-Software statt KI-Flickwerk
Broadcom hat am 31. August 2026 auf der VMware Explore in Las Vegas TrueSource vorgestellt – ein Portfolio aus drei kommerziell unterstützten Open Source Angeboten für Unternehmen.
Veröffentlicht vonBearbeitet mit GPT-5.6 LunaBilder erstellt mit GPT Image 1.5
Forschungsantwort
Wichtige Erkenntnisse
- Broadcom hat am 31. August 2026 auf der VMware Explore in Las Vegas TrueSource vorgestellt – ein Portfolio aus drei kommerziell unterstützten Open Source Angeboten für Unternehmen.
- TrueSource Trusted Artifacts umfasst Clean Room Builds nach SLSA Build Level 3 für mehr als 5.000 geprüfte Java Bibliotheken sowie Unterstützung für Java, Python und Node.js und gehärtete Bitnami Container Images.
- Broadcom positioniert TrueSource als Antwort auf wachsenden Druck in der Software Lieferkette: KI soll Wartung und Analyse beschleunigen, die endgültige Freigabe von Sicherheitsupdates bleibt jedoch bei verantwortlich...
KI-Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What did Broadcom announce at VMware Explore 2026 in Las Vegas with its TrueSource by Broadcom open-source security portfolio, what three co. Article summary: At VMware Explore 2026 in Las Vegas, Broadcom announced TrueSource by Broadcom: a commercially supported portfolio of verifiably built open-source software intended to give enterprises accountable maintenance, secure art. Topic tags: general, general web, user generated, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, ch
Broadcom hat auf der VMware Explore 2026 in Las Vegas TrueSource by Broadcom vorgestellt. Das Portfolio soll Unternehmen kommerziell unterstützte und nach Unternehmensangaben verifizierbar gebaute Open-Source-Software liefern. Dafür bündelt Broadcom Spring, weitere Software-Artefakte, Container sowie Datenbanken unter einer gemeinsamen Strategie für Support und Sicherheit. 1
3
Die zentrale Botschaft: Künstliche Intelligenz kann Schwachstellen schneller finden und Patches vorschlagen. Bevor eine Änderung jedoch in die Produktion gelangt, sollen verantwortliche Entwicklerinnen und Entwickler den Code, den Build-Prozess und mögliche Auswirkungen auf den Betrieb prüfen.
Diese drei Angebote gehören zu TrueSource
1. Spring Enterprise
Spring Enterprise richtet sich an Unternehmen, die das Spring-Ökosystem einsetzen. Broadcom bietet kuratierte Spring-Releases aus dem Team an, das Spring entwickelt und betreut, außerdem eine proaktive Prüfung von Abhängigkeiten, von Menschen verifizierte Patches und koordinierte Korrekturen über mehrere unterstützte Release-Linien hinweg. 1
3
Das ist vor allem für Anwendungen relevant, die von zahlreichen indirekten Bibliotheksabhängigkeiten abhängen. Statt jede Sicherheitslücke als isoliertes Paket-Update zu behandeln, positioniert Broadcom Spring Enterprise als laufenden Release- und Bereinigungsdienst, der eng mit dem Upstream-Ökosystem verbunden bleibt.
2. TrueSource Trusted Artifacts
TrueSource Trusted Artifacts erweitert diesen Ansatz über Spring hinaus. Nach Angaben von Broadcom umfasst das Angebot Clean-Room-Builds nach SLSA Build Level 3 für mehr als 5.000 geprüfte Java-Bibliotheken. Hinzu kommen eine breitere Abdeckung von Java, Python und Node.js, eine exakte Abstimmung auf Spring-Boot-Versionen sowie gehärtete Bitnami-Container-Images. 1
3
Für Plattform- und Sicherheitsteams steht damit vor allem die Herkunft und Einheitlichkeit von Software im Mittelpunkt: Die Artefakte werden in einer kontrollierten Umgebung gebaut, an unterstützte Versionen angepasst und als verlässlichere Alternative zu ungeprüften Abhängigkeiten aus einer fragmentierten Software-Lieferkette angeboten.
3. TrueSource Data Services
TrueSource Data Services deckt vier verbreitete Daten-Engines ab: PostgreSQL, RabbitMQ, MySQL und Valkey. Broadcom kombiniert dabei vertrauenswürdige Artefakte mit kommerziellem Support, Unterstützung bei der Bereitstellung, Automatisierung sowie Funktionen zur Sicherheitsübersicht und Dashboards zur Bewertung der Sicherheitslage. 1
3
TrueSource ist damit mehr als ein Angebot für die Sicherheit von Bibliotheken. Es zielt auch auf den operativen Aufwand, der beim Bereitstellen, Aktualisieren und Überwachen quelloffener Dateninfrastruktur in Unternehmen entsteht.
Wie werden die Angebote lizenziert?
Broadcom bietet die Produkte über abgestufte Standortlizenzen an. Nach Darstellung des Unternehmens kommen dabei Support, Verifizierung, Zugang zu Maßnahmen zur Schwachstellenbehebung und Betriebsexpertise hinzu, ohne die zugrunde liegenden Open-Source-Lizenzen zu verändern. Kunden mit entsprechend lizenzierten Produkten können bestimmte nicht öffentliche Schwachstellen außerdem frühzeitig an Broadcom melden und Zugang zu einer vorgezogenen Behebung erhalten. 1
3
Unternehmen bezahlen damit vor allem für Verantwortlichkeit und Leistungen über den gesamten Lebenszyklus hinweg – nicht für das Eigentum am zugrunde liegenden Community-Code.
Warum Broadcom von wachsendem Lieferketten-Druck spricht
Broadcom begründet TrueSource mit dem zunehmenden Druck, Abhängigkeiten, Container und Datendienste innerhalb von Anwendungen abzusichern. Als Beispiel für den wachsenden Bereinigungsaufwand nennt das Unternehmen einen berichteten Anstieg der monatlichen Spring-Sicherheitswarnungen um mehr als 1.700 Prozent. 3
Der vorgeschlagene Ansatz umfasst mehrere Ebenen:
- von Ingenieurteams kuratierte Komponenten und Releases;
- Clean-Room- und verifizierbare Builds;
- automatisierte Analysen von Repositorys und potenziellen Auswirkungen;
- vorgeschlagene Pull Requests zur Behebung von Schwachstellen;
- Beiträge an die Upstream-Projekte statt isolierter Sonderlösungen; und
- Dashboards, die behobene und noch bestehende Risiken sichtbar machen.
1
3
Es geht Broadcom zufolge also nicht nur darum, möglichst schnell irgendeinen Patch zu erzeugen. Entscheidend sei, zu verstehen, wo eine Schwachstelle tatsächlich genutzt wird, einen möglichst risikoarmen Behebungsweg auszuwählen, das Ergebnis zu validieren und die Korrektur mit den Maintainerinnen und Maintainer des Projekts zu verbinden.
Warum Menschen bei KI-gestützten Patches das letzte Wort haben sollen
Broadcom lehnt den Einsatz von KI in der Sicherheitsarbeit nicht ab. Das Unternehmen zieht vielmehr eine Grenze zwischen Modellen, die Analyse und Patch-Entwicklung beschleunigen, und automatisch erzeugtem Code, der ungeprüft als Produktionslösung eingesetzt wird.
Broadcom verweist auf Tests von 1Password’s Off-by-1 Labs. Dabei behoben nur 26 Prozent von 6.000 KI-generierten Patches die jeweilige Schwachstelle, ohne zugleich die Anwendung zu beschädigen. 3 Außerdem erklärt Broadcom, seine Ingenieurteams hätten innerhalb von fünf Monaten mehr als 12 Milliarden Tokens von Frontier-Modellen für die Analyse von Spring genutzt, dabei aber jeden vorgeschlagenen Fix manuell geprüft.
3
Daraus ergibt sich das von Broadcom betonte Betriebsmodell:
KI-gestützte Wartung, von Menschen freigegebene Behebung.
Modelle können große Abhängigkeitsgraphen untersuchen, wahrscheinlich betroffene Pfade erkennen und Codeänderungen vorschlagen. Ingenieurteams müssen weiterhin Kompatibilität, Leistung, Ausnutzbarkeit, Regressionsrisiken und die Korrektheit des finalen Release-Artefakts bewerten. 3
Das Problem mit KI-generierten Forks
Broadcom warnt, dass ein schnell erstellter KI-Fork zwar eine akute Schwachstelle schließen, langfristig aber neue Wartungsprobleme schaffen kann. Wird ein solcher Fork nicht dauerhaft gepflegt, kann er vom Upstream-Projekt abweichen, spätere Sicherheitsupdates verpassen und unklar lassen, wer für das Artefakt verantwortlich ist. 2
3
TrueSource soll dem entgegengesetzten Modell folgen: mit den Maintainerinnen und Maintainer zusammenarbeiten, geeignete Korrekturen upstream beitragen, den Build-Prozess der Artefakte überprüfen und eine kommerzielle Anlaufstelle für den daraus entstehenden Softwarebestand bereitstellen. 1
3
Für Unternehmen ist dieser Unterschied entscheidend. KI kann die Zeit für Analyse und Vorbereitung eines Fixes verkürzen. Sie schafft allein jedoch weder eine nachvollziehbare Herkunft, noch garantiert sie Kompatibilität, langfristige Pflege oder Verantwortlichkeit, falls ein Patch den Produktionsbetrieb beeinträchtigt.
Was TrueSource für IT-Teams bedeutet
Die Dreiteilung des Portfolios bietet verschiedenen Teams einen klaren Einstieg:
- Spring-Teams erhalten mit Spring Enterprise kuratierte Releases und Sicherheitsunterstützung.
- Plattform- und Application-Security-Teams bekommen über Trusted Artifacts verifizierte Artefakte für wichtige Sprachökosysteme sowie gehärtete Container-Images.
- Infrastrukturteams erhalten mit Data Services unterstützte Distributionen, Automatisierung und Sicherheitsübersicht für PostgreSQL, RabbitMQ, MySQL und Valkey.
Die übergeordnete Schlussfolgerung: Broadcom verkauft eine verwaltete Vertrauensebene rund um Open Source. Nach der Logik des Unternehmens reicht es im Enterprise-Umfeld nicht, lediglich Zugriff auf Quellcode zu haben. Benötigt werden außerdem nachvollziehbare Builds, beteiligte Maintainer, getestete Korrekturen und ein klar verantwortlicher Supportpartner.
Die vorliegenden Berichte enthalten kein direktes Zitat von Katie Norton von IDC. Eine genaue Aussage lässt sich ihr daher nicht belastbar zuschreiben. Die Quellen stützen jedoch die übergeordnete Einordnung der Ankündigung: KI dient als Verstärker für Wartungs- und Analyseaufgaben, während menschliches technisches Urteilsvermögen die entscheidende Kontrollstelle für Sicherheitsentscheidungen in der Produktion bleibt. 3
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Die Leute fragen auch
Wie lautet die kurze Antwort auf „Broadcom setzt bei TrueSource auf geprüfte Open-Source-Software statt KI-Flickwerk“?
Broadcom hat am 31. August 2026 auf der VMware Explore in Las Vegas TrueSource vorgestellt – ein Portfolio aus drei kommerziell unterstützten Open Source Angeboten für Unternehmen.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Broadcom hat am 31. August 2026 auf der VMware Explore in Las Vegas TrueSource vorgestellt – ein Portfolio aus drei kommerziell unterstützten Open Source Angeboten für Unternehmen. TrueSource Trusted Artifacts umfasst Clean Room Builds nach SLSA Build Level 3 für mehr als 5.000 geprüfte Java Bibliotheken sowie Unterstützung für Java, Python und Node.js und gehärtete Bitnami Container Images.
Was soll ich als nächstes in der Praxis tun?
Broadcom positioniert TrueSource als Antwort auf wachsenden Druck in der Software Lieferkette: KI soll Wartung und Analyse beschleunigen, die endgültige Freigabe von Sicherheitsupdates bleibt jedoch bei verantwortlich...
Quellen
siliconangle.comBroadcom's VMware Private AI Cloud spans infrastructure, agents, data and security
investors.broadcom.comVMware Explore Empowers IT Practitioners to Drive Modern ...