Red Hat e IBM lanciano asago e ampliano l’accesso gratuito a Lightwell

L’obiettivo è colmare un divario ancora molto comune nelle organizzazioni: i team legali e di compliance definiscono requisiti generali, mentre ingegneri e amministratori dell’infrastruttura devono interpretarli, testarli e configurarli in ambienti di produzione. asago punta a collegare queste attività in un unico flusso di lavoro verificabile .

Come funziona

Il progetto propone un processo automatizzato e tracciabile che, in genere, comprende:

• la lettura dei documenti sulle politiche di governance dell’IA;
• la mappatura delle singole clausole rispetto a framework di rischio riconosciuti, tra cui NIST AI RMF, OWASP LLM Top 10 ed EU AI Act, attraverso IBM AI Risk Atlas ;
• la generazione di test di sicurezza collegati ai rischi individuati;
• la raccomandazione di misure di mitigazione;
• la trasformazione di tali raccomandazioni in configurazioni pronte per la distribuzione, anche per strumenti come Kubernetes, Terraform e Ansible .

Ogni passaggio dovrebbe produrre una traccia di audit che collega una specifica regola a un test o a un controllo operativo. In questo modo, chi esamina il sistema può risalire da una protezione attiva alla policy che ne ha motivato l’introduzione . Red Hat ha dichiarato che l’obiettivo è ridurre i tempi di implementazione dei controlli da mesi a giorni .

Standard e licenza

asago è progettato per fare riferimento a tre punti di riferimento importanti per la gestione del rischio nell’IA: il NIST AI Risk Management Framework, l’elenco OWASP LLM Top 10, dedicato ai principali rischi dei modelli linguistici di grandi dimensioni, e l’AI Act dell’Unione europea .

Il progetto viene costituito con licenza open source Apache 2.0. Nella fase iniziale, il codice è disponibile su GitHub per sviluppatori, ricercatori accademici e aziende interessate a valutarlo .

Chi partecipa

La coalizione dei fondatori comprende :

• Red Hat, nel ruolo di capofila;
• IBM Research;
• Microsoft;
• NVIDIA;
• MIT Lincoln Laboratory;
• North Carolina State University;
• The Alan Turing Institute;
• Alquimia AI;
• Brave Software;
• la coalizione EvalEval;
• Interdisciplinary Transformation University Austria.

Red Hat ha indicato che altre organizzazioni potrebbero unirsi al progetto con la sua maturazione.

Lightwell gratuito per università e organizzazioni del terzo settore

L’annuncio

Nella stessa giornata, IBM e Red Hat hanno comunicato che università, ONG e think tank idonei potranno utilizzare gratuitamente Lightwell, una piattaforma basata sull’IA che individua, verifica e corregge le vulnerabilità nei pacchetti software open source . L’attivazione per gli enti ammissibili è iniziata ad agosto 2026 .

Il programma iniziale negli Stati Uniti copre oltre 185 università di ricerca e 100 ONG e think tank .

Come opera la piattaforma

Lightwell combina un motore di correzione basato sull’IA generativa con il lavoro degli ingegneri di IBM e Red Hat . Il sistema:

• individua le dipendenze vulnerabili;
• prepara possibili correzioni;
• sottopone le modifiche a verifiche tecniche;
• produce correzioni utilizzabili anche con versioni del software già in produzione, un aspetto rilevante per gli enti che non possono affrontare immediatamente un aggiornamento maggiore .

Secondo IBM e Red Hat, le organizzazioni partecipanti mantengono il controllo sulle informazioni riservate. Lightwell opera nell’ambiente già utilizzato dall’ente e non richiede l’accesso al codice proprietario, ai dati privati o ai risultati della ricerca .

Il programma segue inoltre un approccio definito “upstream always”: le correzioni vengono sottoposte alle comunità open source originali per la revisione. Se accettate, possono quindi migliorare la sicurezza dell’intero ecosistema, non soltanto quella dell’organizzazione che ha ricevuto il fix .

Cosa ricevono gli enti

Tra gli elementi messi a disposizione figurano:

• correzioni validate per software open source vulnerabile;
• codice sorgente e binari firmati digitalmente;
• Software Bill of Materials (SBOM), cioè l’elenco dei componenti presenti in un prodotto software;
• documentazione utile alla conformità;
• patch pensate per versioni già operative in produzione .

Il numero di versioni di pacchetti validate e corrette disponibili attraverso Lightwell è passato da circa 6.500 a oltre 8.000. L’espansione include anche correzioni per 64 vulnerabilità precedentemente non divulgate, secondo quanto comunicato dalle aziende .

Perché queste iniziative contano per la sicurezza dell’IA

Le due iniziative intervengono su problemi diversi ma strettamente legati.

Le dipendenze open source sono parte dello stack dell’IA

Le moderne piattaforme di intelligenza artificiale utilizzano numerosi pacchetti open source. Una vulnerabilità in uno di questi componenti può propagarsi lungo la catena del software e, con l’aiuto di strumenti automatizzati, essere individuata e sfruttata su larga scala .

Le regole sono spesso più facili da scrivere che da applicare

Norme e framework possono stabilire principi generali, ma trasformarli in impostazioni concrete, test ripetibili e controlli che un auditor possa verificare rimane complesso. asago nasce precisamente per ridurre questa frammentazione tra compliance, sviluppo e infrastruttura .

Università e ONG hanno spesso risorse limitate

Gli enti di ricerca e le organizzazioni di interesse pubblico possono non disporre di personale o budget sufficienti per proteggere tutte le dipendenze open source che utilizzano. L’accesso gratuito a Lightwell mira a ridurre questo ostacolo .

L’IA aiuta sia chi difende sia chi attacca

Le stesse capacità di IA che permettono di scoprire e correggere più rapidamente le debolezze possono essere utilizzate dagli attaccanti per identificare vulnerabilità e tentare di sfruttarle . Per questo, la velocità deve essere accompagnata da controlli, validazione e tracciabilità.

Steven Huels, vicepresidente di Red Hat per l’ingegneria dell’IA, ha sintetizzato la sfida osservando che, mentre le organizzazioni passano dai progetti pilota a sistemi e agenti autonomi attivi nel lungo periodo, definire “chiari confini operativi” diventa un requisito per le infrastrutture critiche .

Le mosse di agosto si inseriscono nel più ampio Project Lightwell, sostenuto da un impegno di 5 miliardi di dollari annunciato a maggio 2026 , e nel lavoro dell’Open Secure AI Alliance, lanciata da NVIDIA con Red Hat tra i membri inaugurali . Il filo conduttore è l’idea che la sicurezza dell’IA e della sua filiera open source richieda collaborazione tra aziende tecnologiche, università, ricercatori e organizzazioni pubbliche, anziché l’azione isolata di un singolo soggetto .