Broadcom stawia na ludzką weryfikację poprawek AI w TrueSource

Podczas konferencji VMware Explore 2026 w Las Vegas Broadcom zaprezentował TrueSource by Broadcom — portfolio komercyjnie wspieranego, weryfikowalnie budowanego oprogramowania open source dla firm. Oferta łączy Spring, szerszy katalog artefaktów programistycznych, obrazy kontenerów oraz popularne silniki danych w ramach jednej strategii bezpieczeństwa i wsparcia. 13

Przekaz Broadcomu jest prosty: sztuczna inteligencja może przyspieszyć wykrywanie luk i przygotowywanie poprawek, ale przed wdrożeniem do produkcji kod, proces budowania oraz wpływ zmiany na działającą aplikację powinni sprawdzić odpowiedzialni za to inżynierowie.

Co obejmuje TrueSource?

Portfolio składa się z trzech komercyjnie wspieranych ofert.

Spring Enterprise

Spring Enterprise jest przeznaczone dla organizacji korzystających z ekosystemu Spring. Obejmuje wyselekcjonowane wydania Spring przygotowywane i utrzymywane przez zespół rozwijający ten ekosystem, a także proaktywne skanowanie zależności, poprawki zweryfikowane przez ludzi i skoordynowane naprawy w obsługiwanych liniach wydań. 13

Ma to znaczenie zwłaszcza dla zespołów, których aplikacje korzystają z rozbudowanej sieci bibliotek pośrednich. Zamiast traktować każdą lukę jako osobny problem z pojedyncznym pakietem, Broadcom przedstawia Spring Enterprise jako usługę utrzymania wydań i usuwania podatności powiązaną z nadrzędnym ekosystemem.

TrueSource Trusted Artifacts

TrueSource Trusted Artifacts rozszerza tę koncepcję poza Spring. Według Broadcomu usługa zapewnia artefakty budowane w kontrolowanym, odizolowanym środowisku zgodnie z SLSA Build Level 3 dla ponad 5000 zweryfikowanych bibliotek Java. Obejmuje również dodatkowe komponenty dla Java, Pythona i Node.js, precyzyjne dopasowanie wersji Spring Boot oraz wzmocnione obrazy kontenerów Bitnami. 13

Dla zespołów platformowych i bezpieczeństwa najważniejsze mają być pochodzenie oraz spójność artefaktów. Są one budowane w kontrolowanych warunkach, dopasowywane do obsługiwanych wersji oprogramowania i oferowane jako zaufana alternatywa dla pobierania niesprawdzonych zależności z rozproszonego łańcucha dostaw.

TrueSource Data Services

TrueSource Data Services obejmuje cztery popularne silniki danych: PostgreSQL, RabbitMQ, MySQL i Valkey. Broadcom łączy tu zaufane artefakty z komercyjnym wsparciem, wiedzą dotyczącą wdrożeń, automatyzacją oraz funkcjami wglądu w bezpieczeństwo i pulpitami pokazującymi stan zabezpieczeń. 13

Oznacza to, że TrueSource nie jest wyłącznie produktem do ochrony bibliotek. Oferta ma również zmniejszać operacyjne obciążenie związane z wdrażaniem, aktualizowaniem i monitorowaniem otwartoźródłowej infrastruktury danych w środowiskach firmowych.

Jak wygląda model licencjonowania?

Oferta jest przedstawiana w formie poziomów licencji dla całych organizacji. Broadcom podkreśla, że model komercyjny dodaje wsparcie, weryfikację, dostęp do działań naprawczych i wiedzę operacyjną, ale nie zmienia podstawowych licencji samego oprogramowania open source. Klienci posiadający odpowiednio licencjonowane produkty mogą również przekazywać Broadcomowi wybrane niepubliczne informacje o podatnościach, aby uzyskać wcześniejszy dostęp do ich usunięcia. 13

W praktyce firmy płacą więc za odpowiedzialność i usługi związane z cyklem życia oprogramowania open source, a nie za samo przejęcie praw do kodu rozwijanego przez społeczność.

Dlaczego Broadcom mówi o narastającym problemie łańcucha dostaw?

Broadcom uzasadnia uruchomienie TrueSource rosnącą presją na zabezpieczanie zależności, kontenerów i usług danych wykorzystywanych przez aplikacje. Jako przykład skali obciążenia zespołów korzystających ze Springa firma wskazała raportowany wzrost liczby miesięcznych komunikatów bezpieczeństwa dotyczących tego ekosystemu o ponad 1700 proc. 3

Proponowane podejście łączy kilka elementów:

• komponenty i wydania dobierane przez inżynierów;
• budowanie w kontrolowanym środowisku i możliwość weryfikacji procesu;
• automatyczną analizę repozytoriów oraz zakresu potencjalnego wpływu luki;
• proponowane żądania zmian naprawczych;
• przekazywanie poprawek do głównego projektu zamiast tworzenia odizolowanych modyfikacji;
• pulpity pokazujące usunięte i nadal istniejące zagrożenia. 13

Nie chodzi więc tylko o jak najszybsze wygenerowanie poprawki. Broadcom deklaruje, że chce ustalić, gdzie podatność jest wykorzystywana, wybrać ścieżkę naprawy o mniejszym ryzyku, sprawdzić rezultat i utrzymać związek poprawki z opiekunami odpowiedzialnymi za projekt.

AI ma pomagać, ale człowiek nadal zatwierdza poprawkę

Broadcom nie odrzuca zastosowań AI w bezpieczeństwie. Rozdziela jednak przyspieszanie analizy od dopuszczania wygenerowanego kodu do produkcji bez dodatkowej kontroli.

Firma powołała się na testy 1Password Off-by-1 Labs, w których zaledwie 26 proc. z 6000 poprawek wygenerowanych przez AI jednocześnie usuwało podatność i nie powodowało awarii aplikacji. Broadcom poinformował również, że w ciągu pięciu miesięcy jego inżynierowie wykorzystali ponad 12 mld tokenów modeli nowej generacji do analizy Springa, ręcznie sprawdzając każdą proponowaną poprawkę. 3

Model działania, który podkreśla Broadcom, można streścić tak:

Utrzymanie wspierane przez AI, naprawy zatwierdzane przez ludzi.

Modele mogą pomóc przeanalizować rozbudowany graf zależności, wskazać prawdopodobne ścieżki wykorzystania podatności i zaproponować zmiany w kodzie. Inżynierowie nadal muszą ocenić zgodność, wydajność, możliwość wykorzystania luki, ryzyko regresji oraz poprawność końcowego artefaktu wydania. 3

Ryzyko nieutrzymywanych forków tworzonych przez AI

Zdaniem Broadcomu szybki fork wygenerowany przez AI może rozwiązać bieżący problem, ale jednocześnie stworzyć długoterminowe ryzyko utrzymania. Jeśli taka odgałęziona wersja nie będzie rozwijana, może oddalać się od głównego projektu, pomijać kolejne poprawki bezpieczeństwa i pozostawiać użytkowników bez jasnej odpowiedzi na pytanie, kto odpowiada za dany artefakt. 23

TrueSource ma opierać się na odwrotnym modelu: współpracy z opiekunami projektów, przekazywaniu poprawek do głównego repozytorium, weryfikowaniu sposobu budowania artefaktów i obecności komercyjnego podmiotu zapewniającego wsparcie. 13

Dla nabywców korporacyjnych różnica jest istotna. AI może skrócić czas potrzebny na zbadanie problemu i przygotowanie zmiany, ale sama w sobie nie zapewnia pochodzenia artefaktu, zgodności, długoterminowej opieki ani odpowiedzialności w sytuacji, gdy poprawka wywoła awarię produkcyjną.

Co ogłoszenie oznacza dla zespołów IT?

Trzyczęściowa struktura TrueSource wskazuje różne punkty wejścia dla poszczególnych zespołów:

• zespoły korzystające ze Springa otrzymują wyselekcjonowane wydania i wsparcie bezpieczeństwa w ramach Spring Enterprise;
• zespoły platformowe i bezpieczeństwa aplikacji zyskują zweryfikowane artefakty dla najważniejszych ekosystemów językowych oraz wzmocnione obrazy kontenerów dzięki Trusted Artifacts;
• zespoły infrastruktury otrzymują wspierane dystrybucje, automatyzację i widoczność stanu bezpieczeństwa dla PostgreSQL, RabbitMQ, MySQL i Valkey w ramach Data Services. 13

Szerszy wniosek jest taki, że Broadcom sprzedaje zarządzaną warstwę zaufania wokół open source. Teza firmy zakłada, że oprogramowanie korporacyjne potrzebuje czegoś więcej niż dostępu do kodu źródłowego: weryfikowalnych kompilacji, zaangażowanych opiekunów, przetestowanych działań naprawczych oraz jasno określonego partnera ponoszącego odpowiedzialność za wsparcie.

Dostarczone materiały nie zawierają bezpośredniej wypowiedzi Katie Norton z IDC, dlatego nie można wiarygodnie przypisać jej konkretnej charakterystyki tej oferty. Dostępne dowody wspierają jednak szerszy wniosek wynikający z ogłoszenia: AI jest przedstawiana jako wzmacniacz pracy związanej z utrzymaniem oprogramowania, natomiast ludzka ocena inżynierska pozostaje punktem kontroli decyzji dotyczących bezpieczeństwa produkcji. 3