Red Hat og IBM lanserer asago og gir universiteter gratis tilgang til Lightwell

Målet er å tette gapet mellom det etterlevelses- og juridiske team skriver i styringsdokumenter, og det utviklere og driftsansvarlige faktisk kan konfigurere, teste og sette i produksjon .

Slik er arbeidsflyten tenkt

asago kobler sammen oppgaver som ofte er spredt mellom etterlevelse, datafaglige miljøer og IT-drift. Den automatiserte og etterprøvbare arbeidsflyten skal blant annet kunne:

• lese inn AI-styringsdokumenter
• koble enkeltbestemmelser til etablerte rammeverk, som NIST AI RMF, OWASP LLM Top 10 og EUs AI-forordning, ved hjelp av IBM AI Risk Atlas
• generere sikkerhetstester knyttet til identifiserte risikoer
• foreslå risikoreduserende tiltak
• gjøre tiltakene om til konfigurasjoner som kan distribueres med verktøy som Kubernetes, Terraform og Ansible

Hvert trinn skal etterlate et dokumentert revisjonsspor. Dermed kan en gjennomgang koble en aktiv sikkerhetskontroll tilbake til den konkrete policybestemmelsen som begrunnet den . Red Hat har sagt at ambisjonen er å redusere tiden det tar å sette sikkerhetskontroller i produksjon, fra måneder til dager .

Bygger på kjente standarder

asago er uttrykkelig tilpasset NIST AI Risk Management Framework, OWASP LLM Top 10 og EUs AI-forordning . Det gjør at prosjektet er ment å fungere som et bindeledd mellom generelle krav til ansvarlig AI og tekniske kontroller i faktiske systemer.

En bred partnergruppe

Grunnleggerkoalisjonen består av:

• Red Hat, som leder prosjektet
• IBM Research
• Microsoft
• NVIDIA
• MIT Lincoln Laboratory
• North Carolina State University
• The Alan Turing Institute
• Alquimia AI
• Brave Software
• EvalEval-koalisjonen
• Interdisciplinary Transformation University Austria

Flere organisasjoner kan slutte seg til prosjektet etter hvert som det utvikles.

Apache 2.0-lisens

asago etableres under Apache License 2.0, en åpen kildekode-lisens som tillater bred bruk, videreutvikling og distribusjon på bestemte vilkår . Koden ligger på GitHub mens prosjektet fortsatt er i etableringsfasen, slik at utviklere, forskere og tidlige bedriftsbrukere kan undersøke den .

Lightwell blir gratis for universiteter og NGO-er

Hvem får tilgang?

IBM og Red Hat kunngjorde også at kvalifiserte universiteter, frivillige organisasjoner og tankesmier får gratis tilgang til Lightwell. Programmet omfatter i første omgang over 185 forskningsuniversiteter og 100 NGO-er og tankesmier i USA, med oppstart av registreringen i august 2026 .

Lightwell er utviklet for å finne sårbare avhengigheter i åpen programvare, foreslå reparasjoner og kontrollere at løsningene fungerer teknisk .

AI og ingeniørkontroll i kombinasjon

Plattformen bruker en generativ AI-basert motor for utbedring sammen med ingeniører fra IBM og Red Hat . Arbeidsprosessen skal kunne:

• identifisere sårbare programvareavhengigheter
• utvikle forslag til rettinger
• validere rettingene teknisk før de tas i bruk

Institusjonene beholder kontrollen over konfidensiell informasjon. Ifølge IBM og Red Hat kjører Lightwell i organisasjonens eksisterende miljø og krever ikke tilgang til proprietær kildekode, forskningsdata eller private opplysninger .

Programmet følger dessuten en «upstream always»-tilnærming. Det betyr at rettinger sendes tilbake til de opprinnelige åpen kildekode-prosjektene for vurdering, slik at forbedringene kan komme flere brukere til gode .

Dette får deltakerne

Tilbudet inkluderer blant annet:

• validerte rettinger for sårbar åpen programvare
• digitalt signert kildekode og programvarebinærfiler
• programvarelister, såkalte SBOM-er (Software Bills of Materials)
• dokumentasjon for etterlevelse
• rettinger for programvareversjoner som allerede er i produksjon

Det siste punktet kan være særlig viktig for universiteter og andre institusjoner som ikke uten videre kan gjennomføre store oppgraderinger av systemene sine.

Lightwell har økt antallet validerte og utbedrede pakkeversjoner fra rundt 6 500 til over 8 000. Dette inkluderer rettinger for 64 tidligere ikke offentliggjorte sårbarheter .

Hvorfor skjer dette nå?

De to kunngjøringene dekker ulike deler av den samme sikkerhetsutfordringen.

AI-systemer er avhengige av åpen programvare

Moderne AI-stakker består av mange åpne programvarekomponenter. En sårbarhet i én avhengighet kan derfor få konsekvenser på tvers av mange systemer. Samtidig kan AI-verktøy gjøre det enklere for angripere å oppdage og utnytte slike svakheter i stor skala .

Reglene må kunne håndheves teknisk

Virksomheter kan ha omfattende prinsipper for ansvarlig AI, men det er langt vanskeligere å gjøre dem om til kontroller som utviklere kan distribuere og revisorer kan etterprøve. asago er laget som et direkte svar på denne avstanden mellom policy og teknisk gjennomføring .

Mange samfunnsviktige miljøer har begrensede ressurser

Universiteter og frivillige organisasjoner har ofte mindre tilgang på sikkerhetspersonell og budsjetter enn store selskaper. Det kan gjøre dem mer utsatt når sårbarheter oppdages i programvaren de bruker .

Red Hats visepresident for AI Engineering, Steven Huels, har beskrevet utviklingen slik: «Når organisasjoner går fra eksperimentelle AI-piloter til autonome agenter som kjører over lang tid, blir tydelige operative sikkerhetsrammer et krav til kritisk infrastruktur» .

En del av en større satsing

asago og den utvidede Lightwell-tilgangen kommer etter IBM og Red Hats løfte på 5 milliarder dollar til å styrke sikkerheten i åpen programvare, kunngjort i mai 2026 . Red Hat har også sluttet seg til Open Secure AI Alliance, som NVIDIA lanserte med Red Hat som et av de første medlemmene .

Samlet peker initiativene mot en bransje der AI-sikkerhet ikke bare handler om selve modellen. Det handler også om programvareforsyningskjeden, sporbarhet, etterprøvbare regler og muligheten til å rette sårbarheter før de blir utnyttet. Som Microsofts Sarah Bird har formulert det, kan ingen enkeltorganisasjon løse AI-sikkerhetsutfordringene alene .