Broadcom lança TrueSource com builds verificados e correções de segurança revisadas por humanos

A Broadcom apresentou o TrueSource by Broadcom em 31 de agosto de 2026, durante o VMware Explore, em Las Vegas. O portfólio reúne software de código aberto construído de forma verificável e com suporte comercial para empresas. A proposta inclui o ecossistema Spring, artefatos de software mais amplos, contêineres e mecanismos de dados sob uma mesma estratégia de segurança e manutenção. 13

A mensagem central é direta: a inteligência artificial pode ajudar a encontrar vulnerabilidades e sugerir correções, mas engenheiros responsáveis ainda precisam verificar o código, o processo de build e o impacto operacional antes que uma correção chegue à produção.

O que faz parte do TrueSource?

O TrueSource é composto por três ofertas com suporte comercial.

Spring Enterprise

O Spring Enterprise é voltado a organizações que utilizam o ecossistema Spring. A oferta fornece versões selecionadas do Spring pela equipe que desenvolve e mantém o projeto, além de varredura proativa de dependências, patches verificados por humanos e correções coordenadas entre as linhas de lançamento com suporte. 13

Isso é relevante para equipes cujas aplicações dependem de uma extensa rede de bibliotecas transitivas. Em vez de tratar cada vulnerabilidade como uma simples atualização isolada de pacote, a Broadcom apresenta o Spring Enterprise como um serviço contínuo de versões e correções conectado ao ecossistema original.

TrueSource Trusted Artifacts

O TrueSource Trusted Artifacts amplia essa abordagem para além do Spring. Segundo a Broadcom, a oferta fornece artefatos construídos em ambiente isolado, no nível SLSA Build Level 3, para mais de 5 mil bibliotecas Java verificadas, além de cobertura adicional para Java, Python e Node.js. O pacote também inclui alinhamento exato às versões do Spring Boot e imagens de contêiner Bitnami reforçadas. 13

Para equipes de plataforma e segurança, o principal argumento é a procedência e a consistência. Os artefatos são produzidos em um ambiente controlado, alinhados a versões de software com suporte e oferecidos como alternativa confiável à busca de dependências não verificadas em uma cadeia de fornecimento fragmentada.

TrueSource Data Services

O TrueSource Data Services cobre quatro mecanismos de dados amplamente utilizados: PostgreSQL, RabbitMQ, MySQL e Valkey. A Broadcom descreve a oferta como uma combinação de artefatos confiáveis, suporte comercial, experiência de implantação, automação e recursos de visibilidade de segurança, incluindo painéis de postura de segurança. 13

Com isso, o TrueSource vai além da segurança de bibliotecas. O portfólio também mira o desafio operacional de implantar, atualizar e monitorar infraestrutura de dados de código aberto em ambientes corporativos.

Como funcionam as licenças?

As ofertas são apresentadas em planos de licenciamento por site, organizados em diferentes níveis. A Broadcom afirma que o modelo comercial acrescenta suporte, verificação, acesso a correções e conhecimento operacional sem alterar as licenças de código aberto subjacentes. Clientes elegíveis com produtos devidamente licenciados também podem encaminhar determinadas vulnerabilidades não públicas à Broadcom para obter acesso antecipado às correções. 13

Na prática, as empresas não estão pagando pela propriedade do código comunitário. O valor comercial está na responsabilidade, na verificação e nos serviços de manutenção ao longo do ciclo de vida do software open source.

Por que a Broadcom considera a pressão crescente?

A Broadcom apresentou o TrueSource como resposta à necessidade de proteger dependências, contêineres e serviços de dados incorporados às aplicações. A empresa citou um aumento superior a 1.700% nos avisos mensais de segurança do Spring como exemplo da carga de correções enfrentada pelos usuários do ecossistema. 3

A resposta proposta combina várias camadas:

• componentes e versões selecionados por engenheiros;
• builds realizados em ambiente isolado e verificável;
• análise automatizada de repositórios e do alcance potencial de uma vulnerabilidade;
• pull requests com correções sugeridas;
• contribuições para os projetos originais, em vez de correções isoladas; e
• painéis que exibem a exposição resolvida e a que ainda permanece. 13

O foco, portanto, não é apenas produzir um patch rapidamente. A Broadcom diz que pretende identificar onde a vulnerabilidade é usada, escolher uma rota de correção de menor risco, validar o resultado e manter a solução conectada aos responsáveis pelo projeto original.

Por que a revisão humana é central na estratégia de IA?

A Broadcom não rejeita o uso de IA em segurança. A empresa diferencia, porém, o uso de modelos para acelerar a análise da liberação de código gerado sem revisão como uma correção de produção.

A companhia citou testes do Off-by-1 Labs, da 1Password, nos quais apenas 26% de 6 mil patches gerados por IA corrigiram a vulnerabilidade sem quebrar a aplicação. 3 A Broadcom também afirmou que seus engenheiros utilizaram mais de 12 bilhões de tokens de modelos de fronteira ao longo de cinco meses para analisar o Spring, revisando manualmente todas as correções propostas. 3

O modelo operacional defendido pela empresa pode ser resumido assim:

Manutenção auxiliada por IA, correção aprovada por humanos.

Os modelos podem ajudar a examinar grafos extensos de dependências, encontrar caminhos potencialmente vulneráveis e sugerir alterações. Ainda cabe aos engenheiros avaliar compatibilidade, desempenho, possibilidade de exploração, risco de regressão e se o artefato final foi gerado corretamente. 3

O risco dos forks gerados por IA

O argumento da Broadcom é que um fork criado rapidamente por IA pode resolver uma vulnerabilidade imediata e, ao mesmo tempo, criar um problema de manutenção no longo prazo. Se não for mantido, o fork pode se afastar do projeto original, deixar de receber correções posteriores e gerar dúvidas sobre quem é responsável pelo artefato. 23

O TrueSource foi desenhado para seguir o caminho oposto: trabalhar com os mantenedores, contribuir com correções para os projetos originais quando apropriado, verificar como os artefatos são construídos e oferecer uma empresa responsável pelo suporte do software resultante. 13

A distinção é importante para compradores corporativos. A IA pode reduzir o tempo necessário para investigar e preparar uma correção, mas não garante, sozinha, procedência, compatibilidade, gestão de longo prazo ou responsabilidade caso um patch provoque uma falha em produção.

O que o anúncio muda para as equipes de tecnologia?

A estrutura em três partes oferece diferentes pontos de entrada para as empresas:

• Equipes que usam Spring passam a contar com versões selecionadas e suporte de segurança por meio do Spring Enterprise.
• Equipes de plataforma e segurança de aplicações têm acesso a artefatos verificados para os principais ecossistemas de linguagem e a imagens de contêiner reforçadas com o Trusted Artifacts.
• Equipes de infraestrutura recebem distribuições com suporte, automação e visibilidade de segurança para PostgreSQL, RabbitMQ, MySQL e Valkey por meio do Data Services. 13

A conclusão mais ampla é que a Broadcom está comercializando uma camada de confiança gerenciada para o código aberto. A tese declarada pela empresa é que o software empresarial precisa de mais do que acesso ao código-fonte: precisa de builds verificáveis, participação contínua dos mantenedores, correções testadas e uma relação de suporte com responsabilidade claramente definida.

As informações fornecidas não incluem uma declaração direta de Katie Norton, da IDC. Por isso, não é possível verificar uma caracterização específica atribuída a ela. As evidências sustentam, contudo, a conclusão mais ampla refletida no anúncio: a IA é posicionada como um multiplicador de produtividade na manutenção, enquanto o julgamento de engenharia humana continua sendo o ponto de controle para decisões de segurança em produção. 3