Red Hat i IBM łączą zarządzanie AI z bezpieczeństwem open source

Celem jest zmniejszenie luki między dokumentami tworzonymi przez zespoły ds. zgodności i ryzyka a rozwiązaniami, które inżynierowie mogą skonfigurować, przetestować i uruchomić w środowisku produkcyjnym .

Jak ma działać asago?

Projekt oferuje zautomatyzowany i możliwy do audytowania proces, który łączy rozproszone zadania zespołów inżynieryjnych oraz compliance . Typowy przebieg obejmuje:

• odczytanie przesłanych dokumentów dotyczących zarządzania AI,
• przypisanie zapisów polityki do uznanych struktur oceny ryzyka, takich jak NIST AI RMF, OWASP LLM Top 10 i unijny akt w sprawie sztucznej inteligencji, za pośrednictwem IBM AI Risk Atlas ,
• wygenerowanie testów bezpieczeństwa powiązanych ze zidentyfikowanymi zagrożeniami,
• wskazanie rekomendowanych metod ograniczania ryzyka,
• przekształcenie rekomendacji w konfiguracje gotowe do wdrożenia, m.in. dla Kubernetes, Terraform i Ansible .

Każdy etap ma pozostawiać ślad audytowy łączący konkretny zapis polityki z testem lub kontrolą działającą w czasie pracy systemu. Dzięki temu osoba dokonująca przeglądu może prześledzić, z jakiej reguły wynika dane zabezpieczenie . Red Hat deklaruje, że projekt ma skrócić czas wdrażania zabezpieczeń z miesięcy do dni .

Zgodność ze standardami

asago ma bezpośrednio mapować wymagania na trzy ważne punkty odniesienia:

• NIST AI RMF — amerykańskie ramy zarządzania ryzykiem związanym z AI,
• OWASP LLM Top 10 — zestaw najważniejszych zagrożeń dla aplikacji korzystających z dużych modeli językowych,
• EU AI Act — unijne przepisy dotyczące sztucznej inteligencji .

Kto uczestniczy w projekcie?

W gronie założycielskim znalazły się :

• Red Hat — lider projektu,
• IBM Research,
• Microsoft,
• NVIDIA,
• MIT Lincoln Laboratory,
• North Carolina State University,
• The Alan Turing Institute,
• Alquimia AI,
• Brave Software,
• EvalEval coalition,
• Interdisciplinary Transformation University Austria.

Red Hat przewiduje, że wraz z rozwojem inicjatywy dołączą kolejne organizacje.

Licencja i dostęp do kodu

asago powstaje jako projekt open source na licencji Apache 2.0 . W fazie organizowania projektu jego kod jest dostępny na GitHubie do wglądu dla programistów, badaczy akademickich i firm zainteresowanych wczesnym wykorzystaniem rozwiązania .

Lightwell bez opłat dla uczelni i organizacji społecznych

Kto otrzyma dostęp?

Tego samego dnia IBM i Red Hat ogłosiły, że kwalifikujące się uniwersytety, organizacje pozarządowe i think tanki otrzymają bezpłatny dostęp do Lightwell — platformy wykorzystującej AI do wyszukiwania, weryfikowania i naprawiania luk w pakietach open source . Proces wdrażania programu w uprawnionych instytucjach rozpoczął się w sierpniu 2026 r.

Początkowo program obejmuje ponad 185 uniwersytetów badawczych oraz 100 organizacji pozarządowych i think tanków w Stanach Zjednoczonych .

Jak działa Lightwell?

• Platforma korzysta z silnika naprawczego opartego na generatywnej AI, wspieranego przez inżynierów IBM i Red Hat .
• Wykrywa podatne zależności, przygotowuje propozycje poprawek, a następnie poddaje je technicznej walidacji .
• Uczestniczące instytucje zachowują kontrolę nad poufnymi informacjami. Lightwell działa w istniejącym środowisku organizacji i nie wymaga dostępu do zastrzeżonego kodu źródłowego, wyników badań ani prywatnych danych .
• Program stosuje zasadę „upstream always”. Oznacza to, że poprawki są przekazywane pierwotnym społecznościom open source do oceny, dzięki czemu mogą skorzystać z nich także inni użytkownicy .

Co otrzymują uczestnicy?

W ramach programu instytucje mogą otrzymać:

• zweryfikowane poprawki dla podatnego oprogramowania open source,
• podpisany cyfrowo kod źródłowy i pliki binarne,
• SBOM-y (Software Bill of Materials), czyli wykazy składników oprogramowania,
• dokumentację dotyczącą zgodności,
• poprawki przygotowane dla wersji oprogramowania już działających na produkcji .

Ostatni element jest istotny dla organizacji, które nie mogą od razu przeprowadzić dużej aktualizacji całego środowiska.

Skala napraw

Liczba zweryfikowanych i naprawionych wersji pakietów dostępnych za pośrednictwem Lightwell wzrosła z około 6500 do ponad 8000. Wśród nich znalazły się poprawki dotyczące 64 wcześniej nieujawnionych podatności .

Dlaczego te inicjatywy są ważne?

Ogłoszenia Red Hat i IBM wpisują się w kilka problemów, które narastają wraz z rozwojem systemów AI.

Zależności open source w stosach AI

Współczesne stosy technologiczne AI w dużej mierze opierają się na pakietach open source. Luka w jednym z takich elementów może stać się punktem wejścia do większego systemu, a narzędzia wykorzystujące AI mogą pomagać atakującym wyszukiwać i wykorzystywać podatności na dużą skalę .

Przepaść między regulacją a inżynierią

Organizacje mają trudności z przełożeniem ogólnych zasad — takich jak wymogi unijnego aktu w sprawie AI — na kontrole, które da się wdrożyć, przetestować i zweryfikować podczas audytu. asago ma odpowiadać właśnie na tę fragmentację pracy między działami zgodności, zespołami tworzącymi modele i administratorami infrastruktury .

Ograniczone zasoby uczelni i NGO

Instytucje działające w interesie publicznym często nie dysponują wystarczającą liczbą specjalistów ds. cyberbezpieczeństwa ani budżetem potrzebnym do systematycznego zabezpieczania zależności open source . Bezpłatny dostęp do Lightwell ma ograniczyć tę barierę.

AI pomaga obrońcom i atakującym

Te same możliwości AI, które pozwalają szybciej wykrywać słabe punkty i przygotowywać poprawki, mogą zostać wykorzystane do sprawniejszego wyszukiwania oraz atakowania podatnych systemów . Dlatego bezpieczeństwo musi obejmować zarówno sam model, jak i narzędzia, biblioteki oraz infrastrukturę, na których model działa.

Steven Huels, wiceprezes Red Hat ds. inżynierii AI, ujął to następująco: „Gdy organizacje przechodzą od eksperymentalnych pilotaży AI do długotrwale działających, autonomicznych agentów, ustanowienie jasnych zabezpieczeń operacyjnych staje się wymogiem infrastruktury krytycznej” .

Oba ogłoszenia rozwijają wcześniejsze zobowiązanie Project Lightwell o wartości 5 mld USD, przedstawione w maju 2026 r. , a także współpracę w ramach Open Secure AI Alliance, uruchomionej przez NVIDIA z Red Hatem jako członkiem założycielskim . Wspólnym mianownikiem tych działań jest założenie, że wyzwania związane z bezpieczeństwem AI i oprogramowania open source wymagają współpracy wielu organizacji, a nie pojedynczego dostawcy .