Red Hat e IBM convierten las políticas de IA en controles técnicos y amplían Lightwell gratis para universidades

La propuesta apunta a una brecha habitual dentro de las organizaciones: los equipos de cumplimiento redactan políticas, mientras que los ingenieros deben interpretar esas reglas, convertirlas en pruebas y configurar salvaguardas para los entornos de producción. asago busca conectar ambos mundos y reducir la dependencia de procesos manuales y fragmentados .

Del documento de políticas al despliegue

El proyecto plantea un flujo de trabajo automatizado y auditable que enlaza las tareas de los equipos de ingeniería y cumplimiento . En términos generales, el proceso puede:

• Leer documentos de políticas de gobernanza de IA cargados por una organización.
• Relacionar sus cláusulas con marcos de riesgo reconocidos, como el NIST AI RMF, el OWASP LLM Top 10 y la Ley de IA de la Unión Europea, mediante el IBM AI Risk Atlas .
• Generar pruebas de seguridad vinculadas a los riesgos detectados.
• Recomendar medidas de mitigación.
• Convertir esas recomendaciones en configuraciones listas para desplegar en herramientas como Kubernetes, Terraform y Ansible .

Cada etapa genera un registro de auditoría. Así, un revisor puede seguir el recorrido desde una cláusula concreta de una política hasta la prueba o el control de ejecución que la aplica. Red Hat afirma que el objetivo es acortar los ciclos de implementación: de meses a días .

Estándares y participantes fundadores

asago se ha diseñado para establecer correspondencias explícitas con tres referencias relevantes para la gestión del riesgo en IA:

• NIST AI RMF, el marco de gestión de riesgos de inteligencia artificial del Instituto Nacional de Estándares y Tecnología de Estados Unidos.
• OWASP LLM Top 10, una lista de los principales riesgos de seguridad asociados a los grandes modelos de lenguaje.
• EU AI Act, la Ley de Inteligencia Artificial de la Unión Europea .

La coalición fundadora está integrada por :

• Red Hat, como entidad líder.
• IBM Research.
• Microsoft.
• NVIDIA.
• MIT Lincoln Laboratory.
• North Carolina State University.
• The Alan Turing Institute.
• Alquimia AI.
• Brave Software.
• La coalición EvalEval.
• Interdisciplinary Transformation University Austria.

Red Hat espera que se incorporen más organizaciones a medida que el proyecto avance.

Licencia y estado del proyecto

asago se está estableciendo bajo la licencia de código abierto Apache 2.0 . Durante su fase de formación, el código está disponible en GitHub para que lo revisen desarrolladores, investigadores académicos y empresas que quieran participar como primeros usuarios .

Lightwell: seguridad open source sin coste para instituciones de interés público

El mismo día, IBM y Red Hat anunciaron que universidades, ONG y grupos de expertos elegibles tendrían acceso gratuito a Lightwell, una plataforma que detecta, valida y corrige vulnerabilidades en paquetes de software de código abierto . La incorporación de las instituciones que cumplan los requisitos comenzó en agosto de 2026 .

Lightwell combina un motor de corrección basado en IA generativa con el trabajo de ingenieros de IBM y Red Hat . El sistema identifica dependencias vulnerables, prepara posibles correcciones y las somete a validación técnica antes de ponerlas a disposición de los participantes.

Un aspecto destacado del programa es el control sobre la información sensible. Según IBM y Red Hat, Lightwell funciona dentro del entorno existente de cada organización y no necesita acceder a su código propietario, sus investigaciones ni sus datos privados .

El programa también sigue un enfoque denominado “upstream always”: las correcciones se envían a las comunidades originales de los proyectos open source para que puedan revisarlas. De este modo, una solución desarrollada para una institución participante puede beneficiar también al resto de usuarios del software .

Qué reciben las organizaciones participantes

El acceso incluye:

• Correcciones verificadas para software de código abierto vulnerable.
• Código fuente y binarios firmados digitalmente.
• SBOM (Software Bill of Materials o lista de materiales de software), que detalla los componentes incluidos en un producto.
• Documentación de cumplimiento normativo.
• Correcciones adaptadas a versiones de software que ya están funcionando en producción, una característica relevante para instituciones que no pueden realizar de inmediato una actualización mayor .

Alcance inicial

El catálogo de Lightwell pasó de aproximadamente 6.500 versiones de paquetes validadas y corregidas a más de 8.000, e incluye soluciones para 64 vulnerabilidades que no se habían divulgado previamente .

La iniciativa gratuita cubre inicialmente a más de 185 universidades de investigación y 100 ONG y grupos de expertos de Estados Unidos .

Por qué estas iniciativas ganan importancia en la era de la IA

Los anuncios responden a riesgos que se refuerzan entre sí:

• Dependencia del software open source: las arquitecturas modernas de IA utilizan grandes cantidades de paquetes de código abierto. Una vulnerabilidad en esas dependencias puede abrir la puerta a ataques a gran escala, especialmente cuando los atacantes también utilizan IA .
• Distancia entre la política y la ingeniería: principios amplios, como los recogidos en la Ley de IA de la UE, deben transformarse en pruebas, configuraciones y controles que los ingenieros puedan desplegar y los auditores puedan verificar. Ese es precisamente el vacío que asago pretende cubrir .
• Recursos limitados en universidades y ONG: las instituciones de interés público no siempre cuentan con personal especializado o presupuesto suficiente para revisar y proteger todas sus dependencias de software .
• Amenazas potenciadas por IA: las mismas capacidades que ayudan a los defensores a localizar fallos con mayor rapidez también pueden permitir que los atacantes descubran y exploten sistemas vulnerables con más eficiencia .

Steven Huels, vicepresidente de Ingeniería de IA de Red Hat, resumió el cambio de escenario al señalar que, a medida que las organizaciones pasan de proyectos piloto a agentes autónomos que funcionan durante largos periodos, establecer límites operativos claros se convierte en un requisito de infraestructura crítica .

Estas medidas se suman al compromiso de 5.000 millones de dólares para Project Lightwell, anunciado en mayo de 2026 , y a la Open Secure AI Alliance, iniciativa impulsada por NVIDIA con Red Hat como miembro fundador . El mensaje común es que la seguridad de la IA y de la cadena de suministro de software exige colaboración entre empresas, investigadores, universidades y comunidades de código abierto; ninguna organización puede abordar por sí sola todos estos desafíos .