Red Hat et IBM transforment la gouvernance de l’IA en contrôles déployables

L’objectif est de réduire le fossé qui sépare souvent les documents rédigés par les équipes conformité de ce que les ingénieurs peuvent réellement configurer, tester et maintenir en production . Red Hat estime que cette automatisation pourrait ramener certains cycles de déploiement de plusieurs mois à quelques jours .

Un workflow auditable, de la politique au déploiement

asago doit relier les étapes aujourd’hui dispersées entre responsables de la conformité, spécialistes des données et administrateurs d’infrastructure . Le workflow présenté comprend notamment :

• la lecture de documents de gouvernance de l’IA importés par l’organisation ;
• la mise en correspondance des clauses avec des référentiels de risques reconnus, par l’intermédiaire de l’IBM AI Risk Atlas ;
• la génération de tests de sécurité associés aux risques identifiés ;
• la recommandation de mesures d’atténuation ;
• la conversion de ces recommandations en configurations prêtes à déployer pour des outils comme Kubernetes, Terraform et Ansible .

Chaque étape doit produire une piste d’audit documentée. Un examinateur pourra ainsi relier une exigence précise à un test ou à un contrôle d’exécution, puis retrouver la règle à l’origine d’une protection active .

Des référentiels internationaux comme points d’ancrage

Le projet prévoit des correspondances avec le NIST AI RMF, le cadre de gestion des risques liés à l’IA du National Institute of Standards and Technology, l’OWASP LLM Top 10, consacré aux principaux risques des grands modèles de langage, ainsi qu’avec l’EU AI Act, le règlement européen sur l’intelligence artificielle .

Cette approche ne remplace pas le travail de gouvernance des organisations. Elle cherche plutôt à rendre leurs exigences plus directement exploitables par les équipes chargées de construire et d’opérer les systèmes d’IA.

Une coalition d’acteurs technologiques et académiques

Le groupe fondateur réunit :

• Red Hat, à la tête du projet ;
• IBM Research ;
• Microsoft ;
• NVIDIA ;
• MIT Lincoln Laboratory ;
• North Carolina State University ;
• The Alan Turing Institute ;
• Alquimia AI ;
• Brave Software ;
• la coalition EvalEval ;
• Interdisciplinary Transformation University Austria .

D’autres organisations pourraient rejoindre le projet au fil de sa maturation. asago est établi sous licence open source Apache 2.0 et son dépôt GitHub est accessible, dans cette phase de formation, aux développeurs, chercheurs et premiers utilisateurs en entreprise .

Lightwell devient gratuit pour des établissements d’intérêt général

Plus de 285 organisations américaines ciblées

Le même jour, IBM et Red Hat ont annoncé que des universités éligibles, ONG et think tanks pourraient utiliser Lightwell sans frais. Le programme concerne initialement plus de 185 universités de recherche et 100 ONG et think tanks aux États-Unis. L’intégration des établissements éligibles a commencé en août 2026 .

Lightwell est une plateforme qui identifie, valide et corrige les vulnérabilités présentes dans les paquets logiciels open source . Cette offre élargit l’initiative Project Lightwell, annoncée en mai avec un engagement de 5 milliards de dollars et le soutien d’une équipe mondiale de plus de 20 000 ingénieurs .

Détection, correction et validation technique

La plateforme associe un moteur de correction fondé sur l’IA générative au travail d’ingénieurs d’IBM et de Red Hat . Elle peut :

• repérer les dépendances vulnérables ;
• élaborer des correctifs ;
• soumettre ces correctifs à une validation technique ;
• fournir du code source et des binaires signés numériquement ;
• produire des SBOM (Software Bills of Materials, ou inventaires des composants logiciels) et des documents de conformité .

Les correctifs sont également conçus pour des versions déjà déployées en production. Ce point peut être déterminant pour des universités ou organisations qui ne peuvent pas effectuer immédiatement une mise à niveau majeure de leur infrastructure .

IBM et Red Hat affirment par ailleurs que les établissements participants conservent la maîtrise de leurs informations confidentielles. Lightwell fonctionne dans l’environnement existant de l’organisation et ne nécessite pas l’accès à son code propriétaire, à ses travaux de recherche ou à ses données privées .

Une logique « upstream always »

Le programme suit une approche dite « upstream always » : les corrections sont proposées aux communautés open source d’origine pour examen. Si elles sont acceptées, les améliorations peuvent donc profiter à l’ensemble des utilisateurs du logiciel, et pas uniquement à l’établissement qui a bénéficié du correctif .

Le nombre de versions de paquets validées et corrigées disponibles via Lightwell est passé d’environ 6 500 à plus de 8 000, avec des corrections concernant 64 vulnérabilités auparavant non divulguées .

Pourquoi ces deux annonces comptent pour la sécurité de l’IA

Les systèmes d’IA reposent sur des chaînes logicielles complexes, elles-mêmes fortement dépendantes de composants open source. Une faille dans une dépendance peut donc se propager à de nombreux produits et services. Les capacités de l’IA peuvent aider les défenseurs à repérer et corriger ces problèmes plus rapidement, mais elles peuvent aussi accélérer la découverte et l’exploitation des vulnérabilités par des attaquants .

Les deux projets répondent à des difficultés complémentaires :

• Lightwell cherche à renforcer la chaîne d’approvisionnement logicielle et à sécuriser les composants utilisés par les organisations ;
• asago cherche à convertir les exigences de gouvernance en tests, mesures d’atténuation et configurations opérationnelles ;
• l’accès gratuit à Lightwell vise des institutions qui disposent souvent de ressources plus limitées en personnel et en budget pour protéger leurs dépendances open source .

Steven Huels, vice-président de l’ingénierie de l’IA chez Red Hat, a résumé l’enjeu ainsi : « À mesure que les organisations passent de projets pilotes d’IA expérimentaux à des agents autonomes fonctionnant sur le long terme, la mise en place de garde-fous opérationnels clairs devient une exigence d’infrastructure critique » .

Ces annonces s’inscrivent aussi dans la participation de Red Hat à l’Open Secure AI Alliance, lancée par NVIDIA, et dans une tendance plus large du secteur à considérer que la sécurité et la sûreté de l’IA nécessitent une collaboration entre entreprises, chercheurs, universités et communautés open source .