Broadcom lanserer TrueSource for sikrere åpen kildekode i virksomheter

Broadcom brukte VMware Explore 2026 i Las Vegas til å lansere TrueSource by Broadcom, en portefølje med kommersielt støttet og verifiserbart bygget åpen kildekode for virksomheter. Spring, programvarepakker, containerbilder og datamotorer samles dermed under én strategi for sikkerhet, støtte og livssyklusforvaltning. 13

Budskapet er enkelt: KI kan bidra til å finne sårbarheter og foreslå oppdateringer, men ansvarlige utviklere og sikkerhetsingeniører må fortsatt kontrollere koden, byggeprosessen og konsekvensene før en rettelse går til produksjon.

Tre tilbud i TrueSource

Spring Enterprise

Spring Enterprise er Broadcoms tilbud for virksomheter som bruker Spring-økosystemet. Det gir kuraterte Spring-versjoner fra teamet som utvikler og vedlikeholder Spring, i tillegg til proaktiv avhengighetsskanning, menneskelig verifiserte oppdateringer og koordinerte rettelser på tvers av støttede versjoner. 13

Dette er særlig relevant for applikasjoner som er avhengige av mange indirekte biblioteker. I stedet for å behandle hver sårbarhet som en isolert pakkeoppdatering, presenterer Broadcom Spring Enterprise som en vedlikeholdt versjons- og rettelsestjeneste knyttet til det opprinnelige økosystemet.

TrueSource Trusted Artifacts

TrueSource Trusted Artifacts utvider modellen til andre deler av programvarestakken. Broadcom opplyser at tilbudet leverer rene bygg i et kontrollert miljø på SLSA Build Level 3 for mer enn 5 000 verifiserte Java-biblioteker, med ytterligere dekning for Java, Python og Node.js. Det inkluderer også nøyaktig tilpasning til Spring Boot-versjoner og herdede Bitnami-containerbilder. 13

For plattform- og sikkerhetsteam handler verdien først og fremst om opphav og konsistens: Artefaktene bygges i et kontrollert miljø, tilpasses støttede programvareversjoner og skal være et mer pålitelig alternativ til å hente ubekreftede avhengigheter fra en fragmentert leverandørkjede.

TrueSource Data Services

TrueSource Data Services dekker fire mye brukte datamotorer: PostgreSQL, RabbitMQ, MySQL og Valkey. Broadcom beskriver tilbudet som en kombinasjon av verifiserte artefakter, kommersiell støtte, ekspertise på utrulling og automatisering, samt oversikter over sikkerhetstilstand og eksponering. 13

TrueSource er dermed mer enn et produkt for biblioteksikkerhet. Porteføljen retter seg også mot den praktiske jobben med å distribuere, oppdatere og overvåke åpen kildekodebasert infrastruktur i store IT-miljøer.

Hvordan lisensieres TrueSource?

Tilbudene presenteres gjennom trinnvise nettstedslisenser. Broadcoms posisjon er at den kommersielle modellen tilfører støtte, verifisering, tilgang til rettelser og operativ ekspertise uten å endre de underliggende åpen kildekode-lisensene. Kunder med korrekt lisensierte produkter kan også sende inn enkelte ikke-offentliggjorte sårbarheter til Broadcom for tidlig tilgang til rettelser. 13

I praksis betaler virksomhetene dermed for ansvar, støtte og livssyklustjenester rundt åpen kildekode – ikke for selve eierskapet til fellesskapskoden.

Et svar på økende press i programvareleverandørkjeden

Broadcom lanserte TrueSource som et svar på presset virksomheter opplever når avhengigheter, containerbilder og datatjenester skal sikres. Selskapet viste blant annet til en rapportert økning på mer enn 1 700 prosent i månedlige sikkerhetsvarsler for Spring som eksempel på arbeidsmengden Spring-brukere må håndtere. 3

Tilnærmingen kombinerer flere lag:

• komponenter og versjoner kuratert av ingeniører;
• bygg i et kontrollert miljø som kan verifiseres;
• automatisert analyse av repositorier og mulig skadeomfang;
• foreslåtte rettelser som pull requests;
• bidrag tilbake til de opprinnelige prosjektene; og
• oversikter over løst og gjenværende sikkerhetseksponering. 13

Målet er ifølge Broadcom ikke bare å lage en oppdatering raskt. Selskapet vil også kartlegge hvor sårbarheten faktisk brukes, velge en løsning med lavere risiko, kontrollere resultatet og holde rettelsen knyttet til utviklerne som har ansvar for prosjektet.

Derfor er menneskelig kontroll fortsatt sentral

Broadcom avviser ikke KI i sikkerhetsarbeidet. Selskapet trekker heller en grense mellom å bruke modeller til å fremskynde analyse og å slippe KI-generert kode inn i produksjon uten faglig kontroll.

Broadcom viser til testing fra 1Password-enheten Off-by-1 Labs, der bare 26 prosent av 6 000 KI-genererte rettelser både løste sårbarheten og unngikk å ødelegge applikasjonen. 3 Broadcom opplyser også at ingeniørene brukte mer enn 12 milliarder token fra avanserte språkmodeller over fem måneder til å analysere Spring, samtidig som alle foreslåtte rettelser ble gjennomgått manuelt. 3

Arbeidsmodellen kan oppsummeres slik:

KI-assistert vedlikehold, menneskegodkjente rettelser.

Modeller kan undersøke store avhengighetsgrafer, finne sannsynlige sårbare veier og foreslå kodeendringer. Ingeniører må fortsatt vurdere kompatibilitet, ytelse, utnyttbarhet, risiko for regresjoner og om det endelige programvareartefaktet er korrekt. 3

Risikoen ved KI-genererte avleggere

Broadcoms argument er at en raskt laget KI-avlegger kan løse en akutt sårbarhet, men samtidig skape et langsiktig vedlikeholdsproblem. Hvis avleggeren ikke følges opp, kan den gradvis skille lag med originalprosjektet, gå glipp av senere sikkerhetsoppdateringer og gjøre det uklart hvem som har ansvaret for programvaren. 23

TrueSource bygger på den motsatte modellen: å samarbeide med prosjektets vedlikeholdere, bidra med rettelser tilbake til originalprosjektet der det er hensiktsmessig, kontrollere hvordan artefaktene bygges og tilby en kommersiell aktør som står bak støtten. 13

Forskjellen er viktig for virksomheter. KI kan redusere tiden det tar å undersøke en sårbarhet og forberede en rettelse, men etablerer ikke i seg selv dokumentert opphav, kompatibilitet, langsiktig forvaltning eller ansvar dersom en oppdatering fører til driftsstans.

Hva betyr dette for IT-team?

TrueSource-porteføljen gir ulike team et tydelig inngangspunkt:

• Spring-team får kuraterte versjoner og sikkerhetsstøtte gjennom Spring Enterprise.
• Plattform- og applikasjonssikkerhetsteam får verifiserte artefakter på tvers av sentrale programmeringsmiljøer og herdede containerbilder gjennom Trusted Artifacts.
• Infrastrukturteam får støttede distribusjoner, automatisering og sikkerhetsinnsikt for PostgreSQL, RabbitMQ, MySQL og Valkey gjennom Data Services. 13

Den overordnede strategien er å selge et forvaltet tillitslag rundt åpen kildekode. Broadcoms tese er at virksomheter trenger mer enn tilgang til kildekoden: De trenger verifiserbare bygg, involverte vedlikeholdere, testede rettelser og en tydelig part som kan holdes ansvarlig.

Det tilgjengelige kildematerialet inneholder ikke et direkte sitat fra Katies Norton i IDC, og hennes nøyaktige vurdering kan derfor ikke bekreftes. Dokumentasjonen støtter likevel den bredere konklusjonen i lanseringen: KI skal fungere som en kraftforsterker i vedlikeholdsarbeidet, mens menneskelig ingeniørfaglig skjønn fortsatt er kontrollpunktet for sikkerhetsbeslutninger i produksjon. 3