Broadcom julkisti TrueSourcen VMware Explore 2026 -tapahtumassa

Broadcom esitteli Las Vegasissa järjestetyssä VMware Explore 2026 -tapahtumassa TrueSource by Broadcom -kokonaisuuden. Se tarjoaa yrityksille kaupallisesti tuettuja ja varmennetusti rakennettuja avoimen lähdekoodin ohjelmistoja. Kokonaisuus yhdistää Springin, laajemman ohjelmistokomponenttien valikoiman, konttikuvat ja data-alustat yhden tuki- ja tietoturvastrategian alle. 13

Broadcomin viesti on selkeä: tekoäly voi auttaa löytämään haavoittuvuuksia ja ehdottaa korjauksia, mutta vastuullisten ohjelmistoinsinöörien pitää edelleen tarkistaa koodi, koontiprosessi ja muutosten vaikutukset ennen kuin korjaus viedään tuotantoon.

Mitä TrueSource sisältää?

TrueSource koostuu kolmesta kaupallisesti tuetusta palvelukokonaisuudesta.

1. Spring Enterprise

Spring Enterprise on Broadcomin yrityksille suunnattu palvelu Spring-ekosysteemin käyttöön. Se tarjoaa Springiä kehittävän ja ylläpitävän tiimin kuratoimia julkaisuja, ennakoivaa riippuvuuksien skannausta, ihmisten tarkistamia korjauksia sekä koordinoituja päivityksiä tuetuille julkaisuhaaroille. 13

Tämä on tärkeää organisaatioille, joiden sovellukset riippuvat suuresta määrästä suoria ja epäsuoria ohjelmistokirjastoja. Broadcom ei käsittele jokaista haavoittuvuutta vain yksittäisen paketin päivityksenä, vaan asemoi Spring Enterprisen ylläpidettynä julkaisu- ja korjauspalveluna, joka on sidoksissa alkuperäiseen avoimen lähdekoodin yhteisöön.

2. TrueSource Trusted Artifacts

TrueSource Trusted Artifacts laajentaa lähestymistavan Springin ulkopuolelle. Broadcomin mukaan palvelu tarjoaa puhdastilassa rakennettuja, SLSA Build Level 3 -tason artefakteja yli 5 000 varmennetulle Java-kirjastolle. Lisäksi se kattaa Java-, Python- ja Node.js-ympäristöjä, tarjoaa tarkan Spring Boot -versioiden yhteensopivuuden ja sisältää kovennettuja Bitnami-konttikuvia. 13

SLSA on ohjelmistojen toimitusketjun turvallisuutta koskeva viitekehys, jonka tavoitteena on parantaa ohjelmiston alkuperän ja rakennusprosessin todennettavuutta. Yritysten alusta- ja tietoturvatiimeille palvelun keskeinen lupaus onkin jäljitettävyys ja yhdenmukaisuus: artefaktit rakennetaan hallitussa ympäristössä, sovitetaan tuettuihin ohjelmistoversioihin ja tarjotaan vaihtoehdoksi hajanaisesta toimitusketjusta haetuille, varmentamattomille riippuvuuksille.

3. TrueSource Data Services

TrueSource Data Services kattaa neljä laajasti käytettyä data-alustaa: PostgreSQL:n, RabbitMQ:n, MySQL:n ja Valkeyn. Broadcom kuvaa palvelua kokonaisuutena, jossa yhdistyvät varmennetut artefaktit, kaupallinen tuki, käyttöönotto-osaaminen, automaatio sekä tietoturvan näkyvyyttä ja tilannekuvaa tarjoavat hallintapaneelit. 13

Näin TrueSource ei rajoitu ohjelmistokirjastojen turvallisuuteen. Se pyrkii vastaamaan myös avoimen lähdekoodin data-infrastruktuurin käyttöönoton, päivittämisen ja valvonnan operatiiviseen työmäärään.

Miten TrueSource lisensoidaan?

Palvelut tarjotaan porrastettuina yrityskohtaisina site licensing -lisensseinä. Broadcomin mukaan kaupallinen malli tuo avoimen lähdekoodin ympärille tuen, varmennuksen, korjausten saatavuuden ja käyttöön liittyvää asiantuntemusta muuttamatta taustalla olevia avoimen lähdekoodin lisenssejä. Asianmukaisesti lisensoidut asiakkaat voivat myös toimittaa tietyt ei-julkiset haavoittuvuudet Broadcomille ja saada niihin korjauksen varhaisessa vaiheessa. 13

Käytännössä yritykset eivät siis maksa itse yhteisön tuottaman lähdekoodin omistamisesta. Ne maksavat sen ympärille rakennetusta vastuullisuudesta, elinkaaren hallinnasta ja tuesta.

Miksi Broadcom pitää ohjelmistojen toimitusketjun riskiä kasvavana?

Broadcom perusteli TrueSourcea organisaatioiden kasvavalla paineella suojata sovellustensa riippuvuudet, kontit ja data-palvelut. Yhtiö nosti esimerkiksi Springin tietoturvatiedotteiden kuukausimäärän ilmoitetun yli 1 700 prosentin kasvun ja siitä seuraavan korjaustyön kuorman. 3

Broadcomin ehdottama lähestymistapa yhdistää useita kerroksia:

• insinöörien kuratoimat komponentit ja julkaisut;
• puhdastilassa tehdyt ja todennettavat koonnit;
• automaattinen repositorioiden ja vaikutusalueen analyysi;
• ehdotetut korjaavat pull requestit;
• korjausten vieminen tarvittaessa takaisin alkuperäiseen projektiin; sekä
• hallintapaneelit, jotka näyttävät korjatut ja jäljellä olevat riskit. 13

Tavoitteena ei yhtiön mukaan ole vain tuottaa korjausta mahdollisimman nopeasti. Ensin pitäisi selvittää, missä haavoittuvuutta käytetään, valita mahdollisimman vähäriskinen korjaustapa, validoida lopputulos ja pitää korjaus yhteydessä projektin ylläpitäjiin.

Miksi ihmisen tekemä tarkistus on keskeinen osa tekoälystrategiaa?

Broadcom ei torju tekoälyavusteista tietoturvatyötä. Yhtiö vetää pikemminkin rajan analyysin nopeuttamisen ja tarkistamattoman, tekoälyn tuottaman tuotantokorjauksen välille.

Broadcom viittasi 1Passwordin Off-by-1 Labsin testiin, jossa vain 26 prosenttia 6 000 tekoälyn tuottamasta korjauksesta sekä korjasi haavoittuvuuden että vältti sovelluksen rikkoutumisen. 3 Broadcom kertoi lisäksi insinööriensä käyttäneen Springin analysointiin yli 12 miljardia frontier-mallien tokenia viiden kuukauden aikana, mutta tarkistaneen jokaisen ehdotetun korjauksen manuaalisesti. 3

Yhtiön korostama toimintamalli tiivistyy näin:

Tekoälyavusteista ylläpitoa, ihmisten hyväksymiä korjauksia.

Mallit voivat auttaa käymään läpi laajoja riippuvuusverkostoja, löytämään todennäköisesti haavoittuvat käyttöpolut ja ehdottamaan koodimuutoksia. Insinöörien on silti arvioitava yhteensopivuus, suorituskyky, hyödynnettävyys, regressioriski ja se, että lopullinen julkaisuartefakti on oikein rakennettu. 3

Tekoälyn tuottamien haarautumien riski

Broadcomin argumentti on, että nopeasti tehty tekoälyllä tuotettu fork eli haarautunut versio voi ratkaista akuutin haavoittuvuuden mutta synnyttää pidemmän aikavälin ylläpito-ongelman. Jos haaraa ei ylläpidetä, se voi erkaantua alkuperäisestä projektista, jäädä ilman myöhempiä tietoturvapäivityksiä ja jättää käyttäjät epätietoisiksi siitä, kuka artefaktista vastaa. 23

TrueSource on suunniteltu päinvastaisen mallin ympärille: yhteistyö projektien ylläpitäjien kanssa, korjausten vieminen soveltuvin osin takaisin alkuperäiseen projektiin, rakennustavan todentaminen ja kaupallinen taho, joka tukee lopputulosta. 13

Ero on yritysasiakkaille olennainen. Tekoäly voi lyhentää haavoittuvuuden tutkimiseen ja korjauksen valmisteluun kuluvaa aikaa, mutta se ei yksin takaa ohjelmiston alkuperää, yhteensopivuutta, pitkäaikaista ylläpitoa tai vastuunkantoa tilanteessa, jossa päivitys aiheuttaa tuotantohäiriön.

Mitä julkistus merkitsee teknologiatiimeille?

TrueSourcen kolmiosainen rakenne tarjoaa eri tiimeille oman lähtöpisteensä:

• Spring-tiimit saavat kuratoidut julkaisut ja tietoturvatuen Spring Enterprisen kautta.
• Alusta- ja sovellustietoturvatiimit saavat Trusted Artifactsin kautta varmennettuja artefakteja keskeisiin kieliekosysteemeihin sekä kovennettuja konttikuvia.
• Infrastruktuuritiimit saavat Data Servicesin kautta tuettuja jakeluita, automaatiota ja tietoturvan näkyvyyttä PostgreSQL-, RabbitMQ-, MySQL- ja Valkey-ympäristöihin. 13

Laajempi tulkinta on, että Broadcom myy avoimen lähdekoodin ympärille hallittua luottamuskerrosta. Yhtiön mukaan yritysohjelmistot tarvitsevat lähdekoodin saatavuutta enemmän: tarvitaan todennettavia koonteja, mukana pysyviä ylläpitäjiä, testattuja korjauksia ja selkeästi vastuussa oleva tukikumppani.

Käytettävissä oleva aineisto ei sisällä IDC:n Katie Nortonin suoraa sitaattia, joten hänen tarkkaa luonnehdintaansa ei voida varmistaa. Aineisto tukee kuitenkin julkistuksen laajempaa johtopäätöstä: tekoälyä asemoidaan ylläpidon tehostajaksi, kun taas ihmisen tekemä insinööriarviointi säilyy tuotannon tietoturvapäätösten viimeisenä kontrollipisteenä. 3