Red HatとIBM、AIガバナンスをコード化する「asago」と、大学・NGO向けLightwell無償提供を発表

ワークフロー

このプロジェクトは、エンジニアリングチームとコンプライアンスチーム間の断片化されたステップを接続する、自動化された監査可能なワークフローを提供する。プロセスは通常、以下のステップを含む：

• アップロードされたAIガバナンスポリシー文書の読み取り
• IBM AI Risk Atlasを介した、ポリシークラウスのNIST AI RMF、OWASP LLM Top 10、EU AI法などのリスクフレームワークへのマッピング
• 特定されたリスクに関連する安全性テストの生成
• 緩和策の推奨
• 推奨事項のKubernetes、Terraform、Ansibleなどのツール用のデプロイ可能な設定への変換

各ステップは、ポリシークラウスを特定のテストまたはランタイム制御にリンクする文書化された監査証跡を生成し、レビュー担当者は実際のセーフガードをその根拠となったルールまでトレースできる。Red Hatは、このプロジェクトによりデプロイサイクルを数か月から数日に短縮できるとしている。

標準への準拠

このプロジェクトは、NIST AI RMF（リスクマネジメントフレームワーク）、OWASP LLM Top 10、EU AI法に明示的にマッピングされている。

設立パートナー

設立時の連合には以下が含まれる：

• Red Hat（リーダー）
• IBM Research
• Microsoft
• NVIDIA
• MITリンカーン研究所
• ノースカロライナ州立大学
• アラン・チューリング研究所
• Alquimia AI
• Brave Software
• EvalEval連合
• オーストリアIT:U大学（インターディシプリナリー・トランスフォーメーション大学）

プロジェクトの成熟に伴い、さらなる組織の参加が見込まれている。

ライセンス

asagoはApache 2.0オープンソースライセンスのもとで設立されている。プロジェクトコードはGitHubで公開されており、現在は形成段階にあるため、開発者、学術研究者、エンタープライズアーリーアダプターがレビューできる。

大学・NGO向けLightwell無償提供

発表内容

2026年8月4日、IBMとRed Hatは、対象となる大学、NGO、シンクタンクがオープンソースソフトウェアパッケージの脆弱性を発見、検証、修正するAI駆動プラットフォームLightwellに無料でアクセスできると発表した。対象機関のオンボーディングは2026年8月から即時開始された。

仕組み

• Lightwellは、IBMおよびRed Hatのエンジニアとともに、生成AI搭載の修復エンジンを使用する。
• システムは脆弱な依存関係を特定し、修正案を作成し、技術的な検証を行う。
• 参加機関は機密情報の管理を維持する。Lightwellは組織の既存環境内で動作し、プロプライエタリなソースコード、研究、プライベートデータへのアクセスを必要としない。
• プログラムは**「常にアップストリームへ」** のアプローチに従う。修正はレビューのために元のオープンソースコミュニティに提出されるため、改善は参加機関以外のユーザーにも利益をもたらす。

参加者が受け取るもの

• 脆弱なオープンソースソフトウェアに対する検証済みの修正
• デジタル署名されたソースコードとソフトウェアバイナリ
• ソフトウェア部品表（SBOM）
• コンプライアンス文書
• すでに本番環境で動作しているソフトウェアバージョン向けに設計された修正（大規模なアップグレードをすぐに実行できない機関にとって重要）

規模とカバレッジ

• Lightwellを通じて利用可能な検証・修正済みパッケージバージョンの数は、約6,500から8,000以上に増加しており、これまで未公開だった64件の脆弱性に対する修正が含まれている。
• 無償アクセスプログラムは、当初米国内の185以上の研究大学と100以上のNGOおよびシンクタンクを対象としている。

背景：これらのイニシアチブの原動力となるAI安全性の課題

両発表は、AI時代における相互に関連する一連の構造的リスクに対処するものである：

• AIスタックにおけるオープンソース依存リスク：現代のAIソフトウェアスタックはオープンソースパッケージに深く依存しており、それらのパッケージの脆弱性はAIを活用した攻撃者によって大規模に悪用される可能性がある。
• ポリシーとエンジニアリングのギャップ：組織は、EU AI法のような広範なAI原則を、エンジニアがデプロイし、監査担当者が検証できる運用制御に変換することに苦慮している。asagoはこの断片化への直接的な対応である。
• リソース不足の公共的利益機関：大学やNGOは、オープンソースの依存関係を保護するためのサイバーセキュリティ要員や予算を欠いていることが多く、攻撃に対して脆弱である。
• AIを活用した脅威：防御側が脆弱性をより迅速に特定するのに役立つAI能力は、攻撃側が脆弱なシステムを発見し悪用するのにも同じように役立つ可能性がある。

Red HatのAIエンジニアリング担当VPであるSteven Huels氏は、この課題を次のように述べている。「組織が実験的なAIパイロットから長期間稼働する自律型エージェントへと移行するにつれ、明確な運用ガードレールを確立することが重要なインフラ要件になります」。

これらの発表は、2026年5月に発表された50億米ドルのProject Lightwellコミットメント、Open Secure AI Alliance（NVIDIAによって立ち上げられ、Red Hatが最初のメンバーとして参加）、および「単一の組織では[AIの安全性とセキュリティの課題に]単独で取り組むことはできない」という業界全体の認識（MicrosoftのSarah Bird氏）に基づいている。