TrueSource Broadcom Hadirkan Keamanan Open Source yang Diverifikasi Manusia

Broadcom memperkenalkan TrueSource by Broadcom dalam ajang VMware Explore 2026 di Las Vegas pada 31 Agustus 2026. Portofolio ini ditujukan bagi perusahaan yang menggunakan software open source dan membutuhkan komponen yang dibangun secara dapat diverifikasi, dukungan komersial, serta proses perbaikan keamanan yang tetap melibatkan engineer manusia. 13

Pesan utama Broadcom cukup jelas: AI bisa membantu menemukan kerentanan dan mengusulkan patch, tetapi kode, proses build, kompatibilitas, dan dampak operasionalnya tetap perlu diperiksa sebelum perbaikan diterapkan ke lingkungan produksi.

Tiga penawaran dalam TrueSource

1. Spring Enterprise

Spring Enterprise ditujukan bagi organisasi yang menjalankan ekosistem Spring. Layanan ini menyediakan rilis Spring yang dikurasi oleh tim pengembang dan pemelihara Spring, pemindaian dependensi secara proaktif, patch yang diverifikasi manusia, serta perbaikan terkoordinasi di berbagai lini rilis yang masih didukung. 13

Pendekatan ini penting bagi tim yang aplikasinya bergantung pada banyak pustaka tidak langsung atau transitive dependencies. Alih-alih memperlakukan setiap kerentanan sebagai pembaruan paket yang berdiri sendiri, Broadcom memosisikan Spring Enterprise sebagai layanan pemeliharaan rilis dan remediasi yang tetap terhubung dengan ekosistem upstream.

2. TrueSource Trusted Artifacts

TrueSource Trusted Artifacts memperluas pendekatan tersebut di luar Spring. Broadcom menyatakan bahwa layanan ini menyediakan artefak hasil build clean-room dengan SLSA Build Level 3 untuk lebih dari 5.000 pustaka Java terverifikasi. Cakupannya juga diperluas ke Java, Python, dan Node.js, serta mencakup penyelarasan versi Spring Boot yang presisi dan image container Bitnami yang diperkuat. 13

Bagi tim platform dan keamanan, nilai utamanya terletak pada asal-usul artefak dan konsistensi. Komponen dibangun dalam lingkungan yang terkendali, diselaraskan dengan versi software yang didukung, lalu ditawarkan sebagai alternatif tepercaya dibandingkan mengambil dependensi yang belum diverifikasi dari rantai pasok software yang terfragmentasi.

3. TrueSource Data Services

TrueSource Data Services mencakup empat mesin data yang banyak digunakan: PostgreSQL, RabbitMQ, MySQL, dan Valkey. Broadcom menyebut layanan ini menggabungkan artefak tepercaya, dukungan komersial, keahlian deployment, otomatisasi, serta fitur visibilitas keamanan dan dasbor postur keamanan. 13

Dengan demikian, TrueSource bukan hanya produk keamanan pustaka. Portofolio ini juga menyasar tantangan operasional perusahaan dalam menerapkan, memperbarui, dan memantau infrastruktur data open source.

Bagaimana model lisensinya?

Ketiga penawaran tersebut disediakan melalui opsi lisensi situs bertingkat. Broadcom menyatakan bahwa model komersial ini menambahkan dukungan, verifikasi, akses remediasi, dan keahlian operasional tanpa mengubah lisensi open source yang mendasari software tersebut. Pelanggan yang memiliki lisensi produk yang sesuai juga dapat membawa kerentanan tertentu yang belum dipublikasikan kepada Broadcom untuk memperoleh akses remediasi lebih awal. 13

Artinya, perusahaan membayar akuntabilitas dan layanan sepanjang siklus hidup software open source—bukan membeli kepemilikan atas kode komunitas yang menjadi dasarnya.

Mengapa Broadcom menyoroti masalah rantai pasok software?

Broadcom memperkenalkan TrueSource di tengah meningkatnya tekanan bagi perusahaan untuk mengamankan dependensi, container, dan layanan data yang digunakan aplikasinya. Perusahaan tersebut menyebut kenaikan lebih dari 1.700% dalam jumlah imbauan keamanan Spring bulanan sebagai gambaran beban remediasi yang dihadapi pengguna Spring. 3

Respons yang ditawarkan Broadcom mencakup beberapa lapisan:

• komponen dan rilis yang dikurasi engineer;
• build clean-room yang dapat diverifikasi;
• analisis repositori dan blast radius secara otomatis;
• usulan pull request untuk remediasi;
• kontribusi perbaikan ke upstream, bukan sekadar patch terisolasi; serta
• dasbor yang menunjukkan paparan yang sudah diselesaikan dan yang masih tersisa. 13

Fokusnya bukan hanya menghasilkan patch secepat mungkin. Broadcom mengatakan tujuannya adalah memahami di mana kerentanan digunakan, memilih jalur perbaikan dengan risiko lebih rendah, memvalidasi hasilnya, dan menjaga agar perbaikan tetap terhubung dengan para pemelihara proyek.

AI membantu pemeliharaan, tetapi manusia tetap menyetujui perbaikan

Broadcom tidak menolak penggunaan AI untuk pekerjaan keamanan. Perusahaan itu membedakan antara penggunaan model untuk mempercepat analisis dan membiarkan kode hasil generasi AI menjadi perbaikan produksi tanpa peninjauan.

Broadcom mengutip pengujian 1Password’s Off-by-1 Labs yang menemukan bahwa hanya 26% dari 6.000 patch buatan AI yang sekaligus memperbaiki kerentanan dan tidak merusak aplikasi. 3 Broadcom juga menyatakan bahwa engineer-nya menggunakan lebih dari 12 miliar token model frontier selama lima bulan untuk menganalisis Spring, tetapi setiap perbaikan yang diusulkan tetap ditinjau secara manual. 3

Model kerja yang ditekankan Broadcom adalah:

Pemeliharaan dengan bantuan AI, remediasi yang disetujui manusia.

Model AI dapat membantu memeriksa grafik dependensi berukuran besar, menemukan jalur yang kemungkinan rentan, dan mengusulkan perubahan kode. Namun, engineer tetap perlu menilai kompatibilitas, performa, kemungkinan eksploitasi, risiko regresi, serta ketepatan artefak rilis akhir. 3

Risiko fork yang dibuat AI

Menurut argumen Broadcom, fork yang dibuat AI secara cepat mungkin menyelesaikan kerentanan dalam jangka pendek, tetapi dapat menimbulkan masalah pemeliharaan dalam jangka panjang. Jika tidak dirawat, fork bisa menyimpang dari upstream, melewatkan perbaikan keamanan berikutnya, dan membuat pengguna tidak mengetahui siapa yang bertanggung jawab atas artefak tersebut. 23

TrueSource dirancang dengan model yang berlawanan: bekerja bersama pemelihara proyek, menyumbangkan perbaikan ke upstream bila sesuai, memverifikasi proses pembangunan artefak, dan menyediakan pihak komersial yang mendukung software tersebut. 13

Perbedaan ini penting bagi pembeli enterprise. AI mungkin mengurangi waktu untuk menyelidiki masalah dan menyiapkan patch, tetapi AI sendiri tidak otomatis menjamin asal-usul artefak, kompatibilitas, pengelolaan jangka panjang, atau pihak yang bertanggung jawab ketika patch menyebabkan gangguan produksi.

Apa artinya bagi tim teknologi perusahaan?

Struktur TrueSource memberi titik masuk yang berbeda bagi setiap tim:

• Tim yang menggunakan Spring memperoleh rilis terkurasi dan dukungan keamanan melalui Spring Enterprise.
• Tim platform dan keamanan aplikasi mendapatkan artefak terverifikasi untuk berbagai ekosistem bahasa serta image container yang diperkuat melalui Trusted Artifacts.
• Tim infrastruktur memperoleh distribusi yang didukung, otomatisasi deployment, dan visibilitas keamanan untuk PostgreSQL, RabbitMQ, MySQL, serta Valkey melalui Data Services. 13

Kesimpulan besarnya: Broadcom sedang menawarkan lapisan kepercayaan terkelola di atas open source. Tesis perusahaan tersebut adalah bahwa software enterprise membutuhkan lebih dari sekadar akses ke kode sumber—yakni build yang dapat diverifikasi, keterlibatan pemelihara, remediasi yang telah diuji, dan hubungan dukungan yang memiliki pihak bertanggung jawab.

Pelaporan yang tersedia tidak memuat kutipan langsung dari Katie Norton dari IDC, sehingga karakterisasi spesifik yang dikaitkan kepadanya tidak dapat diverifikasi di sini. Namun, bukti yang tersedia mendukung kesimpulan yang lebih luas dari pengumuman tersebut: AI diposisikan sebagai pengganda kemampuan untuk pemeliharaan, sementara penilaian engineering manusia tetap menjadi titik kendali dalam keputusan keamanan produksi. 3