TrueSource : Broadcom veut remettre l’humain au centre de la sécurité open source

À l’occasion de VMware Explore 2026, organisé à Las Vegas, Broadcom a annoncé TrueSource by Broadcom, un portefeuille de logiciels open source compilés de manière vérifiable et accompagnés d’un support commercial pour les entreprises. L’offre réunit Spring, des artefacts logiciels plus larges, des conteneurs et plusieurs moteurs de données au sein d’une même stratégie de sécurité et de maintenance. 13

Le message de Broadcom tient en une formule : l’IA peut accélérer la détection des vulnérabilités et la préparation des correctifs, mais des ingénieurs responsables doivent encore vérifier le code, la compilation et les conséquences opérationnelles avant tout déploiement en production.

Trois offres pour encadrer l’open source

Spring Enterprise

Spring Enterprise s’adresse aux organisations qui utilisent l’écosystème Spring. L’offre fournit des versions sélectionnées de Spring par l’équipe qui développe et maintient le projet, ainsi qu’une analyse proactive des dépendances, des correctifs vérifiés par des humains et une coordination des corrections entre les branches prises en charge. 13

Cette approche vise notamment les applications qui reposent sur de nombreuses bibliothèques transitives. Plutôt que de traiter chaque faille comme une simple mise à jour de paquet, Broadcom présente Spring Enterprise comme un service de versions maintenues et de remédiation relié directement à l’écosystème amont.

TrueSource Trusted Artifacts

TrueSource Trusted Artifacts étend cette logique au-delà de Spring. Broadcom indique fournir des artefacts compilés en environnement isolé, conformes au niveau SLSA Build Level 3, pour plus de 5 000 bibliothèques Java vérifiées. La couverture doit également s’étendre à Java, Python et Node.js. L’offre comprend par ailleurs un alignement exact sur les versions de Spring Boot et des images de conteneurs Bitnami renforcées. 13

Pour les équipes chargées des plateformes et de la sécurité, l’enjeu est celui de la provenance et de la cohérence : les composants sont produits dans un environnement contrôlé, associés à des versions prises en charge et proposés comme une alternative vérifiée aux dépendances récupérées dans une chaîne d’approvisionnement fragmentée.

TrueSource Data Services

TrueSource Data Services couvre quatre moteurs de données largement utilisés : PostgreSQL, RabbitMQ, MySQL et Valkey. Broadcom décrit une offre combinant des artefacts de confiance, un support commercial, une expertise de déploiement, de l’automatisation et des fonctions de visibilité de la sécurité, notamment sous la forme de tableaux de bord de posture. 13

TrueSource ne se limite donc pas à la sécurité des bibliothèques. Le portefeuille cherche aussi à réduire la charge opérationnelle liée au déploiement, à la mise à jour et à la surveillance d’infrastructures de données open source en entreprise.

Une licence commerciale autour du code open source

Les offres sont proposées selon des options de licence de site par niveaux. Broadcom affirme que ce modèle ajoute du support, de la vérification, un accès à la remédiation et une expertise opérationnelle sans modifier les licences open source sous-jacentes. Les clients disposant de produits correctement licenciés peuvent également soumettre certaines vulnérabilités non publiques à Broadcom afin d’accéder plus tôt à une remédiation. 13

Autrement dit, les entreprises paient pour la responsabilité, le suivi du cycle de vie et les services associés à l’open source — pas pour devenir propriétaires du code communautaire lui-même.

Une réponse à l’explosion du travail de remédiation

Broadcom inscrit TrueSource dans un contexte de pression accrue sur les organisations, qui doivent sécuriser les dépendances, les conteneurs et les services de données intégrés à leurs applications. L’entreprise cite notamment une hausse de plus de 1 700 % du nombre mensuel d’avis de sécurité concernant Spring. 3

La réponse proposée combine plusieurs briques :

• des composants et des versions sélectionnés par des ingénieurs ;
• des compilations réalisées en environnement isolé et vérifiables ;
• une analyse automatisée des dépôts et du périmètre d’impact d’une faille ;
• des demandes de modification proposant des correctifs ;
• des contributions au projet amont plutôt que des corrections isolées ;
• des tableaux de bord distinguant l’exposition résolue de celle qui reste à traiter. 13

L’objectif affiché n’est donc pas seulement de produire un correctif le plus vite possible. Broadcom veut déterminer où une vulnérabilité est réellement utilisée, choisir une voie de remédiation présentant moins de risques, valider le résultat et maintenir le lien avec les responsables du projet concerné.

« Maintenance assistée par l’IA, remédiation approuvée par l’humain »

Broadcom ne rejette pas le recours à l’IA dans la sécurité. L’entreprise établit plutôt une distinction entre l’utilisation de modèles pour accélérer l’analyse et le déploiement d’un code généré sans revue dans un environnement de production.

Broadcom cite des tests menés par les Off-by-1 Labs de 1Password : sur 6 000 correctifs générés par l’IA, seuls 26 % auraient corrigé la vulnérabilité sans casser l’application. 3 L’entreprise affirme également que ses ingénieurs ont utilisé plus de 12 milliards de jetons de modèles de pointe en cinq mois pour analyser Spring, tout en contrôlant manuellement chaque correctif proposé. 3

Le modèle défendu par Broadcom peut se résumer ainsi :

Maintenance assistée par l’IA, remédiation approuvée par l’humain.

Les modèles peuvent parcourir rapidement un vaste graphe de dépendances, repérer les chemins probablement vulnérables et suggérer des modifications. Les ingénieurs doivent encore vérifier la compatibilité, les performances, l’exploitabilité, les risques de régression et l’exactitude de l’artefact finalement publié. 3

Le risque des forks générés par l’IA

Selon Broadcom, un fork créé rapidement par une IA peut résoudre une faille immédiate tout en ouvrant un problème de maintenance à plus long terme. S’il n’est pas entretenu, il peut s’éloigner du projet amont, manquer de futurs correctifs de sécurité et laisser les utilisateurs dans le doute quant à la provenance de l’artefact et à la personne responsable de son suivi. 23

TrueSource repose sur le modèle inverse : collaborer avec les mainteneurs, contribuer les corrections au projet amont lorsque cela est pertinent, vérifier la manière dont les artefacts sont construits et proposer un interlocuteur commercial responsable du logiciel. 13

Pour les acheteurs informatiques, la nuance est importante. L’IA peut réduire le temps nécessaire à l’investigation et à la préparation d’un correctif, mais elle n’établit pas à elle seule la provenance, la compatibilité, la gouvernance à long terme ni la responsabilité en cas de panne provoquée par une mise à jour.

Ce que TrueSource change pour les équipes IT

La structure en trois volets donne à chaque équipe un point d’entrée distinct :

• les équipes Spring bénéficient de versions sélectionnées et d’un accompagnement sécurité avec Spring Enterprise ;
• les équipes plateforme et sécurité applicative disposent d’artefacts vérifiés pour plusieurs écosystèmes et d’images de conteneurs renforcées avec Trusted Artifacts ;
• les équipes d’infrastructure obtiennent des distributions accompagnées, de l’automatisation et une meilleure visibilité de la sécurité pour PostgreSQL, RabbitMQ, MySQL et Valkey avec Data Services. 13

Le lancement traduit une volonté claire de Broadcom : vendre une couche de confiance gérée autour de l’open source. Sa thèse est qu’en entreprise, l’accès au code source ne suffit plus. Il faut aussi pouvoir vérifier les compilations, compter sur des mainteneurs toujours impliqués, tester les remédiations et savoir précisément qui répondra présent en cas de problème.

Les éléments fournis ne contiennent pas de citation directe de Katie Norton, d’IDC. Il n’est donc pas possible de vérifier une formulation précise qui lui serait attribuée. Les sources étayent toutefois la conclusion générale portée par l’annonce : l’IA est présentée comme un accélérateur de la maintenance, tandis que le jugement des ingénieurs reste le point de contrôle pour les décisions de sécurité en production. 3