Broadcom wil open source veiliger maken met TrueSource

Broadcom heeft tijdens VMware Explore 2026 in Las Vegas TrueSource by Broadcom aangekondigd. Het gaat om een portfolio van commercieel ondersteunde open source waarvan de build en herkomst controleerbaar zijn. Spring, bredere softwareartefacten, containers en datamotoren vallen voortaan onder één strategie voor ondersteuning en beveiliging. 13

De kern van de boodschap: AI kan kwetsbaarheden sneller opsporen en patches voorstellen, maar engineers moeten de code, de build en de gevolgen voor de productieomgeving blijven controleren voordat een oplossing wordt uitgerold.

Wat zit er in TrueSource?

TrueSource bestaat uit drie commercieel ondersteunde onderdelen.

1. Spring Enterprise

Spring Enterprise is Broadcoms aanbod voor organisaties die het Spring-ecosysteem gebruiken. Het biedt geselecteerde Spring-releases van het team dat Spring ontwikkelt en onderhoudt, aangevuld met proactieve controles op afhankelijkheden, door mensen geverifieerde patches en gecoördineerde oplossingen voor ondersteunde releaseversies. 13

Dat is vooral relevant voor teams waarvan applicaties afhankelijk zijn van lange ketens van indirecte bibliotheken. In plaats van iedere kwetsbaarheid als een losstaand pakketprobleem te behandelen, presenteert Broadcom Spring Enterprise als een doorlopende release- en herstelservice die verbonden blijft met het upstream-ecosysteem.

2. TrueSource Trusted Artifacts

TrueSource Trusted Artifacts trekt die aanpak breder dan Spring. Volgens Broadcom levert de dienst clean-roombuilds op SLSA Build Level 3 voor meer dan 5.000 geverifieerde Java-bibliotheken. Daarnaast komt er bredere dekking voor Java, Python en Node.js, exacte afstemming op Spring Boot-versies en een catalogus met geharde Bitnami-containerimages. 13

Voor platform- en securityteams draait de meerwaarde om herkomst en consistentie. De artefacten worden in een gecontroleerde omgeving gebouwd, afgestemd op ondersteunde softwareversies en aangeboden als betrouwbaarder alternatief voor het rechtstreeks ophalen van niet-geverifieerde afhankelijkheden uit een versnipperde softwareketen.

3. TrueSource Data Services

TrueSource Data Services richt zich op vier veelgebruikte datamotoren: PostgreSQL, RabbitMQ, MySQL en Valkey. Broadcom combineert daarbij vertrouwde artefacten met commerciële ondersteuning, expertise rond implementatie, automatisering en functies voor beveiligingsinzicht, zoals dashboards voor de security posture. 13

TrueSource is daarmee meer dan een product voor bibliotheekbeveiliging. Het portfolio wil ook de operationele last aanpakken van het implementeren, bijwerken en monitoren van open-source-infrastructuur voor data binnen bedrijfsomgevingen.

Hoe worden de diensten gelicentieerd?

De drie onderdelen worden aangeboden via verschillende opties voor sitelicenties. Broadcom zegt dat het commerciële model de onderliggende open-sourcelicenties niet verandert. Klanten betalen dus niet voor het eigendom van de communitycode, maar voor ondersteuning, verificatie, herstelmogelijkheden en operationele expertise rond die code. Goed gelicentieerde klanten kunnen bovendien bepaalde niet-openbare kwetsbaarheden bij Broadcom aanmelden om eerder toegang tot oplossingen te krijgen. 13

Waarom zegt Broadcom dat de druk op de softwareketen toeneemt?

Broadcom plaatst TrueSource tegen de achtergrond van de groeiende druk om afhankelijkheden, containers en datadiensten in applicaties beter te beveiligen. Het bedrijf noemt een gemelde stijging van meer dan 1.700 procent in het aantal maandelijkse Spring-securityadviezen als voorbeeld van de herstelbelasting voor Spring-gebruikers. 3

De voorgestelde aanpak bestaat uit meerdere lagen:

• door engineers geselecteerde componenten en releases;
• clean-roombuilds en controleerbare builds;
• geautomatiseerde analyse van repositories en de mogelijke impact van een kwetsbaarheid;
• voorgestelde pull requests voor herstel;
• bijdragen aan het upstreamproject in plaats van geïsoleerde patches; en
• dashboards met opgeloste en resterende blootstelling. 13

Het doel is volgens Broadcom niet simpelweg om zo snel mogelijk een patch te produceren. Eerst moet duidelijk worden waar een kwetsbaarheid wordt gebruikt, daarna moet een herstelroute met zo weinig mogelijk risico worden gekozen en getest. De oplossing moet bovendien verbonden blijven met de maintainers die voor het project verantwoordelijk zijn.

Waarom menselijke controle centraal staat in de AI-strategie

Broadcom wijst AI-ondersteund securitywerk niet af. Het maakt wel onderscheid tussen modellen gebruiken om analyse te versnellen en gegenereerde code zonder grondige beoordeling als productiepatch inzetten.

Broadcom verwijst naar tests van 1Password-dochter Off-by-1 Labs waaruit zou blijken dat slechts 26 procent van 6.000 AI-gegenereerde patches de kwetsbaarheid oploste zonder de applicatie te breken. 3 Het bedrijf zegt daarnaast dat zijn engineers in vijf maanden tijd meer dan 12 miljard tokens van frontiermodellen gebruikten om Spring te analyseren, terwijl iedere voorgestelde oplossing handmatig werd gecontroleerd. 3

Dat leidt tot het werkmodel dat Broadcom benadrukt:

Onderhoud met hulp van AI, herstel goedgekeurd door mensen.

Modellen kunnen helpen bij het doorzoeken van grote afhankelijkheidsgrafen, het vinden van waarschijnlijke kwetsbare paden en het voorstellen van codewijzigingen. Engineers moeten vervolgens compatibiliteit, prestaties, misbruikbaarheid, regressierisico en de juistheid van het uiteindelijke releaseartefact beoordelen. 3

Het risico van door AI gemaakte forks

Volgens Broadcom kan een snel gemaakte AI-fork een acute kwetsbaarheid oplossen, maar tegelijk een langdurig onderhoudsprobleem creëren. Als zo'n fork niet wordt bijgehouden, kan hij afwijken van het upstreamproject, latere beveiligingsupdates missen en onduidelijkheid veroorzaken over de persoon of organisatie die voor het artefact verantwoordelijk is. 23

TrueSource is rond het tegenovergestelde model gebouwd: samenwerken met projectmaintainers, oplossingen waar dat passend is upstream bijdragen, controleren hoe artefacten worden gebouwd en een commerciële partij bieden die de resulterende software ondersteunt. 13

Dat onderscheid is belangrijk voor zakelijke afnemers. AI kan de tijd verkorten die nodig is om een kwetsbaarheid te onderzoeken en een patch voor te bereiden. Maar AI zorgt op zichzelf niet voor bewezen herkomst, compatibiliteit, langdurig beheer of verantwoordelijkheid wanneer een patch een productiesysteem verstoort.

Wat betekent dit voor technologieteams?

De driedelige structuur geeft verschillende teams een duidelijk aangrijpingspunt:

• Springteams krijgen geselecteerde releases en beveiligingsondersteuning via Spring Enterprise.
• Platform- en applicatie-securityteams krijgen via Trusted Artifacts geverifieerde artefacten voor belangrijke programmeertalen en geharde containerimages.
• Infrastructuurteams krijgen via Data Services ondersteunde distributies, automatisering en beveiligingsinzicht voor PostgreSQL, RabbitMQ, MySQL en Valkey. 13

De bredere boodschap is dat Broadcom een beheerde vertrouwenslaag rond open source verkoopt. Volgens de positionering van het bedrijf hebben ondernemingen meer nodig dan toegang tot broncode: ze hebben verifieerbare builds, betrokken maintainers, geteste oplossingen en een duidelijk aanspreekpunt nodig.

De beschikbare berichtgeving bevat geen rechtstreeks citaat van IDC-analist Katie Norton. Haar precieze typering kan daarom niet worden geverifieerd. De bronnen ondersteunen wel de bredere conclusie uit de aankondiging: AI wordt ingezet als versneller van softwareonderhoud, terwijl menselijke engineeringbeslissingen het controlepunt blijven voor beveiligingskeuzes in productie. 3