ברודקום משיקה את TrueSource לאבטחת קוד פתוח בארגונים

ברודקום ניצלה את כנס VMware Explore 2026 בלאס וגאס כדי להציג את TrueSource by Broadcom — פורטפוליו של תוכנות קוד פתוח שנבנו באופן שניתן לאימות ומגיעות עם תמיכה מסחרית לארגונים. ההכרזה מאגדת את Spring, רכיבי תוכנה נוספים, קונטיינרים ומנועי נתונים תחת אסטרטגיה משותפת של אבטחה ותמיכה. 13

המסר של החברה פשוט: בינה מלאכותית יכולה לסייע באיתור חולשות ובהצעת תיקונים, אבל מהנדסים בעלי אחריות חייבים עדיין לבדוק את הקוד, את תהליך הבנייה ואת ההשפעה התפעולית לפני שהתיקון מגיע לייצור.

מה כולל TrueSource?

הפורטפוליו מורכב משלושה מוצרים הנתמכים באופן מסחרי.

1. Spring Enterprise

Spring Enterprise מיועד לארגונים שמפעילים את אקוסיסטם Spring. השירות מספק גרסאות Spring שנבחרו ונאצרו בידי הצוות שמפתח ומתחזק את Spring, לצד סריקה יזומה של תלויות, תיקונים שנבדקו בידי בני אדם ותיאום תיקונים בין קווי הגרסאות הנתמכים. 13

הדבר חשוב במיוחד לצוותים שהיישומים שלהם נשענים על רשת גדולה של ספריות עקיפות. במקום להתייחס לכל חולשה כאל עדכון נקודתי של חבילה, ברודקום מציגה את Spring Enterprise כשירות תחזוקה ותיקון שמחובר לאקוסיסטם המקורי ולמפתחים שמתחזקים אותו.

2. TrueSource Trusted Artifacts

TrueSource Trusted Artifacts מרחיב את הגישה מעבר ל־Spring. לפי ברודקום, השירות מספק ארטיפקטים שנבנו בסביבת Clean Room, ברמת SLSA Build Level 3, עבור יותר מ־5,000 ספריות Java מאומתות. בנוסף הוא כולל כיסוי ל־Java, Python ו־Node.js, התאמה מדויקת לגרסאות Spring Boot ותמונות קונטיינר מוקשחות של Bitnami. 13

עבור צוותי פלטפורמה ואבטחה, הערך המוצע הוא מקוריות ועקביות: הרכיבים נבנים בסביבה מבוקרת, מותאמים לגרסאות תוכנה נתמכות ומוצגים כחלופה אמינה להורדת תלויות לא מאומתות משרשרת אספקה מפוצלת.

3. TrueSource Data Services

TrueSource Data Services מכסה ארבעה מנועי נתונים נפוצים: PostgreSQL, RabbitMQ, MySQL ו־Valkey. ברודקום מתארת את השירות כשילוב של ארטיפקטים אמינים, תמיכה מסחרית, מומחיות בפריסה ובאוטומציה, וכן יכולות להצגת מצב האבטחה ולוחות מחוונים לבחינת רמת ההגנה. 13

לכן TrueSource אינו רק מוצר לאבטחת ספריות. הוא פונה גם לעומס התפעולי הכרוך בפריסה, בעדכון ובניטור של תשתיות נתונים בקוד פתוח בסביבות ארגוניות.

כיצד TrueSource מורשה?

המוצרים מוצעים במסלולי רישוי אתר מדורגים. לפי המיצוב של ברודקום, המודל המסחרי מוסיף תמיכה, אימות, גישה לתיקוני אבטחה ומומחיות תפעולית — בלי לשנות את רישיונות הקוד הפתוח הבסיסיים. לקוחות הזכאים לכך, שמחזיקים ברישוי תקין למוצרים, יכולים גם להעביר לברודקום חולשות מסוימות שאינן פומביות ולקבל גישה מוקדמת לתיקון. 13

במילים אחרות, הארגונים משלמים על אחריות ועל שירותי מחזור חיים סביב קוד פתוח — לא על בעלות בסיסית בקוד הקהילתי עצמו.

מדוע ברודקום מזהירה מפני הלחץ בשרשרת האספקה?

ברודקום הציגה את TrueSource כמענה ללחץ הגובר על ארגונים לאבטח את התלויות, הקונטיינרים ושירותי הנתונים המשולבים ביישומים שלהם. החברה ציינה עלייה מדווחת של יותר מ־1,700% במספר התרעות האבטחה החודשיות של Spring כדוגמה לעומס התיקונים שעמו מתמודדים משתמשי Spring. 3

הפתרון שמציעה החברה משלב כמה שכבות:

• רכיבים וגרסאות שנבחרו בידי מהנדסים;
• בניות בסביבת Clean Room שניתן לאמת;
• ניתוח אוטומטי של מאגרים ושל היקף ההשפעה של חולשה;
• Pull Requests עם הצעות לתיקון;
• תרומת תיקונים לפרויקט המקורי במקום תיקונים מבודדים; וכן
• לוחות מחוונים המציגים את החשיפות שנפתרו ואת אלה שנותרו. 13

הדגש אינו רק על הפקת תיקון במהירות. ברודקום אומרת שמטרתה היא להבין היכן נעשה שימוש בחולשה, לבחור מסלול תיקון בעל סיכון נמוך יותר, לאמת את התוצאה ולשמור על קשר עם המתחזקים האחראים לפרויקט.

מדוע אימות אנושי נשאר במרכז אסטרטגיית ה־AI?

ברודקום אינה דוחה עבודה בתחום האבטחה בסיוע בינה מלאכותית. היא מבדילה בין שימוש במודלים כדי להאיץ ניתוח לבין הכנסת קוד שנוצר אוטומטית לייצור בלי בדיקה.

החברה ציטטה בדיקה של Off-by-1 Labs, מעבדת המחקר של 1Password, שבה רק 26% מתוך 6,000 תיקונים שנוצרו בידי AI גם פתרו את החולשה וגם נמנעו מלשבור את היישום. 3 ברודקום הוסיפה כי המהנדסים שלה השתמשו ביותר מ־12 מיליארד טוקנים של מודלי Frontier במשך חמישה חודשים כדי לנתח את Spring, אך בדקו ידנית כל תיקון שהוצע. 3

מכאן נגזר מודל העבודה שברודקום מדגישה:

תחזוקה בסיוע AI, תיקון באישור אנושי.

מודלים יכולים לסייע בסריקת גרף תלויות גדול, בזיהוי מסלולים החשופים לחולשות ובהצעת שינויים בקוד. המהנדסים עדיין צריכים לבדוק תאימות, ביצועים, אפשרות לניצול, סיכון לרגרסיות ואת נכונות ארטיפקט ההפצה הסופי. 3

החשש מפורקים שנוצרו בידי AI

הטענה של ברודקום היא שפורק מהיר שנוצר בידי AI עשוי לפתור חולשה מיידית, אך ליצור בעיית תחזוקה ארוכת טווח. אם הפורק אינו מתוחזק, הוא עלול להתרחק מהפרויקט המקורי, להחמיץ תיקוני אבטחה עתידיים ולהותיר את המשתמשים בלי ודאות מי אחראי לארטיפקט. 23

TrueSource מתוכנן לפי מודל הפוך: לעבוד עם מתחזקי הפרויקט, לתרום תיקונים חזרה לפרויקט המקורי כשמתאים, לאמת את אופן בניית הארטיפקטים ולספק גורם מסחרי שתומך בתוכנה שנוצרה. 13

ההבחנה חשובה לרוכשי תוכנה ארגוניים. AI עשוי לקצר את הזמן הדרוש לחקירת חולשה ולהכנת תיקון, אך הוא אינו יוצר לבדו מקוריות מוכחת, תאימות, אחריות ארוכת טווח או גורם שניתן לפנות אליו כאשר תיקון גורם לתקלה בייצור.

מה המשמעות עבור צוותי טכנולוגיה ארגוניים?

המבנה התלת־חלקי של TrueSource מציע נקודת כניסה שונה לכל צוות:

• צוותי Spring מקבלים גרסאות שנאצרו ותמיכת אבטחה באמצעות Spring Enterprise.
• צוותי פלטפורמה ואבטחת יישומים מקבלים ארטיפקטים מאומתים במגוון אקוסיסטמים של שפות ותמונות קונטיינר מוקשחות באמצעות Trusted Artifacts.
• צוותי תשתיות מקבלים הפצות נתמכות, אוטומציה ונראות אבטחתית עבור PostgreSQL, RabbitMQ, MySQL ו־Valkey באמצעות Data Services. 13

המסקנה הרחבה יותר היא שברודקום מוכרת שכבת אמון מנוהלת סביב קוד פתוח. התזה שלה היא שתוכנה ארגונית זקוקה ליותר מגישה לקוד המקור: היא זקוקה לבניות שניתן לאמת, למתחזקים שנשארים מעורבים, לתיקונים שנבדקו ולמערכת יחסים ברורה עם גורם תמיכה שאפשר להטיל עליו אחריות.

הדיווחים שסופקו אינם כוללים ציטוט ישיר של קייטי נורטון מ־IDC, ולכן אי אפשר לאמת כאן את האופן המדויק שבו ניסחה את עמדתה. עם זאת, הראיות תומכות במסקנה הרחבה שמשתקפת בהכרזה: AI מוצג כמכפיל כוח לתחזוקה, בעוד שיקול הדעת ההנדסי האנושי נשאר נקודת הבקרה להחלטות אבטחה בסביבת ייצור. 3