Broadcom ने VMware Explore 2026 में TrueSource लॉन्च किया—AI पैचिंग पर इंसानी निगरानी का जोर

Broadcom ने VMware Explore 2026 के दौरान लास वेगास में TrueSource by Broadcom पेश किया। यह एंटरप्राइज ग्राहकों के लिए verifiably built यानी सत्यापित तरीके से बनाए गए, व्यावसायिक रूप से समर्थित ओपन-सोर्स सॉफ्टवेयर का पोर्टफोलियो है। इसमें Spring, विभिन्न सॉफ्टवेयर artifacts, कंटेनर और data engines को एक साझा सुरक्षा और सपोर्ट रणनीति के तहत रखा गया है। 13

इस घोषणा का सीधा संदेश है: AI कमजोरियां खोजने और पैच सुझाने में मदद कर सकता है, लेकिन किसी सुधार को production में भेजने से पहले code, build और उसके operational असर की जिम्मेदारी इंजीनियरों को ही तय करनी चाहिए।

TrueSource में क्या शामिल है?

TrueSource तीन व्यावसायिक रूप से समर्थित पेशकशों का समूह है।

1. Spring Enterprise

Spring Enterprise Spring ecosystem का इस्तेमाल करने वाले संगठनों के लिए Broadcom की पेशकश है। इसमें Spring को विकसित और maintain करने वाली टीम से curated Spring releases, proactive dependency scanning, मानव-सत्यापित patches और समर्थित release lines में coordinated fixes शामिल हैं। 13

यह उन टीमों के लिए खास मायने रखता है जिनके applications कई transitive libraries पर निर्भर होते हैं। हर vulnerability को अलग-अलग package update की तरह देखने के बजाय Broadcom Spring Enterprise को upstream ecosystem से जुड़े maintained release और remediation service के रूप में पेश कर रहा है।

2. TrueSource Trusted Artifacts

TrueSource Trusted Artifacts इस मॉडल को Spring से आगे ले जाता है। Broadcom के अनुसार, इसमें 5,000 से अधिक verified Java libraries के clean-room, SLSA Build Level 3 artifacts मिलते हैं। इसके अलावा Java, Python और Node.js के लिए विस्तृत coverage, Spring Boot versions का सटीक alignment और hardened Bitnami container images भी शामिल हैं। 13

Platform और security teams के लिए इसका मुख्य लाभ provenance और consistency है। Artifacts नियंत्रित वातावरण में बनाए जाते हैं, समर्थित software versions के साथ align किए जाते हैं और fragmented supply chain से बिना सत्यापन वाली dependencies लेने के बजाय एक भरोसेमंद विकल्प के रूप में पेश किए जाते हैं।

3. TrueSource Data Services

TrueSource Data Services चार व्यापक रूप से इस्तेमाल होने वाले data engines को कवर करता है: PostgreSQL, RabbitMQ, MySQL और Valkey। Broadcom के मुताबिक, इसमें trusted artifacts के साथ commercial support, deployment expertise, automation और security visibility या posture-dashboard क्षमताएं शामिल हैं। 13

इससे TrueSource केवल library-security product नहीं रह जाता। यह enterprise environments में open-source data infrastructure को deploy, update और monitor करने की operational चुनौती को भी संबोधित करता है।

TrueSource का लाइसेंस मॉडल क्या है?

इन पेशकशों को tiered site-licensing options के जरिए उपलब्ध कराया जाता है। Broadcom का कहना है कि commercial model underlying open-source licenses को बदलता नहीं है; इसके बदले support, verification, remediation access और operational expertise जोड़ी जाती है। उचित रूप से licensed eligible customers कुछ nonpublic vulnerabilities को शुरुआती remediation access के लिए Broadcom के साथ साझा भी कर सकते हैं। 13

व्यवहार में, enterprise ग्राहक community code के मूल स्वामित्व के लिए नहीं, बल्कि उसके आसपास accountability और lifecycle services के लिए भुगतान कर रहे हैं।

Broadcom के अनुसार software supply chain का दबाव क्यों बढ़ रहा है?

Broadcom ने TrueSource को applications में मौजूद dependencies, containers और data services को सुरक्षित करने के बढ़ते दबाव के संदर्भ में पेश किया। कंपनी ने Spring users के सामने मौजूद remediation workload का उदाहरण देते हुए monthly Spring security advisories में 1,700% से अधिक वृद्धि का उल्लेख किया। 3

कंपनी का प्रस्तावित तरीका कई स्तरों पर काम करता है:

• engineers द्वारा curated components और releases;
• clean-room और verifiable builds;
• automated repository और blast-radius analysis;
• सुझाए गए remediation pull requests;
• isolated fixes के बजाय upstream contributions; और
• resolved तथा remaining exposure दिखाने वाले dashboards। 13

जोर केवल जल्दी patch तैयार करने पर नहीं है। Broadcom के अनुसार, लक्ष्य यह समझना है कि vulnerability का इस्तेमाल कहां हो रहा है, कम-जोखिम वाला remediation path चुनना, परिणाम को validate करना और fix को project के जिम्मेदार maintainers से जोड़े रखना।

AI रणनीति में human verification क्यों जरूरी है?

Broadcom AI-assisted security work को खारिज नहीं कर रहा। कंपनी analysis को तेज करने के लिए models के इस्तेमाल और बिना समीक्षा के generated code को production fix बनाने के बीच स्पष्ट अंतर कर रही है।

कंपनी ने 1Password की Off-by-1 Labs की testing का हवाला दिया, जिसमें 6,000 AI-generated patches में केवल 26% ने vulnerability को ठीक किया और application को तोड़ा भी नहीं। 3 Broadcom ने यह भी कहा कि उसके engineers ने Spring का analysis करने के लिए पांच महीनों में 12 अरब से अधिक frontier-model tokens का इस्तेमाल किया, लेकिन हर प्रस्तावित fix की manual review की। 3

Broadcom जिस operating model पर जोर दे रहा है, वह है:

AI-assisted maintenance, human-approved remediation.

Models बड़े dependency graph की जांच, संभावित vulnerable paths की पहचान और code changes के सुझाव में मदद कर सकते हैं। लेकिन compatibility, performance, exploitability, regression risk और अंतिम release artifact की शुद्धता का आकलन अभी भी engineers को करना होगा। 3

AI-generated forks को लेकर चिंता

Broadcom का तर्क है कि तेज AI-generated fork तत्काल vulnerability को हल कर सकता है, लेकिन लंबे समय में maintenance की नई समस्या पैदा कर सकता है। यदि ऐसा fork maintain न किया जाए, तो वह upstream project से अलग हो सकता है, बाद के security fixes से चूक सकता है और users को यह स्पष्ट नहीं रहेगा कि artifact की जवाबदेही किसकी है। 23

TrueSource इसके उलट मॉडल पर आधारित है: project maintainers के साथ काम करना, जहां उचित हो वहां fixes को upstream contribute करना, artifacts के build process को verify करना और resulting software के लिए commercial support देने वाली जिम्मेदार party उपलब्ध कराना। 13

Enterprise buyers के लिए यह अंतर महत्वपूर्ण है। AI investigation और fix तैयार करने में लगने वाला समय घटा सकता है, लेकिन अपने-आप provenance, compatibility, long-term stewardship या production failure की स्थिति में जिम्मेदारी सुनिश्चित नहीं करता।

Enterprise technology teams के लिए इसका क्या मतलब है?

TrueSource की तीन-स्तरीय संरचना अलग-अलग टीमों को स्पष्ट entry point देती है:

• Spring teams को Spring Enterprise के जरिए curated releases और security support मिलता है।
• Platform और application-security teams को Trusted Artifacts के जरिए प्रमुख language ecosystems में verified artifacts और hardened container images मिलते हैं।
• Infrastructure teams को Data Services के जरिए PostgreSQL, RabbitMQ, MySQL और Valkey के लिए supported distributions, automation और security visibility मिलती है। 13

बड़ा निष्कर्ष यह है कि Broadcom ओपन सोर्स के चारों ओर एक managed trust layer बेच रहा है। कंपनी का घोषित दृष्टिकोण है कि enterprise software के लिए केवल source code तक पहुंच पर्याप्त नहीं है। उसे verifiable builds, सक्रिय maintainers, tested remediation और स्पष्ट रूप से जवाबदेह support relationship भी चाहिए।

उपलब्ध reporting में IDC की Katie Norton का कोई प्रत्यक्ष उद्धरण नहीं है, इसलिए उनके नाम से कोई सटीक characterization सत्यापित नहीं की जा सकती। हालांकि उपलब्ध साक्ष्य उस व्यापक निष्कर्ष का समर्थन करते हैं जो इस घोषणा में उभरता है: AI maintenance के लिए force multiplier हो सकता है, लेकिन production security decisions में human engineering judgment अभी भी अंतिम नियंत्रण बिंदु है। 3