TrueSource от Broadcom обещает предприятиям open source с человеческой проверкой безопасности

На конференции VMware Explore 2026 в Лас-Вегасе Broadcom представила TrueSource by Broadcom — портфель коммерчески поддерживаемого open source с проверяемой сборкой для корпоративных пользователей. В него вошли Spring, более широкий набор программных артефактов, контейнеры и системы данных, объединенные общей стратегией поддержки и безопасности. 13

Главная идея Broadcom проста: искусственный интеллект способен быстро находить уязвимости и предлагать патчи, но перед попаданием исправления в production-код его должны проверить ответственные инженеры — вместе с процессом сборки, совместимостью и возможными последствиями для работы приложения.

Что входит в TrueSource

Портфель состоит из трех коммерчески поддерживаемых предложений.

Spring Enterprise

Spring Enterprise предназначен для организаций, использующих экосистему Spring. Сервис предоставляет отобранные релизы Spring от команды, которая разрабатывает и сопровождает этот проект, а также проактивное сканирование зависимостей, патчи с человеческой проверкой и согласованное устранение проблем в поддерживаемых ветках релизов. 13

Такой подход особенно важен для приложений с длинной цепочкой транзитивных зависимостей. Вместо того чтобы рассматривать каждую уязвимость как отдельное обновление пакета, Broadcom предлагает управляемый процесс сопровождения релизов и устранения проблем, связанный с upstream-экосистемой — исходным проектом и его мейнтейнерами.

TrueSource Trusted Artifacts

TrueSource Trusted Artifacts расширяет эту модель за пределы Spring. По данным Broadcom, предложение включает сборки в изолированной среде, соответствующие SLSA Build Level 3, для более чем 5 000 проверенных Java-библиотек. Также заявлено расширение покрытия на Java, Python и Node.js, точное соответствие версиям Spring Boot и усиленные образы контейнеров Bitnami. 13

Для платформенных и security-команд ключевая ценность здесь — происхождение и единообразие артефактов. Они создаются в контролируемой среде, привязаны к поддерживаемым версиям ПО и позиционируются как более предсказуемая альтернатива загрузке непроверенных зависимостей из фрагментированной цепочки поставок.

TrueSource Data Services

TrueSource Data Services охватывает четыре широко используемых движка данных: PostgreSQL, RabbitMQ, MySQL и Valkey. Broadcom описывает продукт как сочетание доверенных артефактов, коммерческой поддержки, экспертизы по развертыванию, автоматизации и инструментов контроля состояния безопасности с соответствующими дашбордами. 13

Таким образом, TrueSource выходит за рамки защиты библиотек. Портфель также рассчитан на компании, которым нужно упростить развертывание, обновление и мониторинг open-source-инфраструктуры данных в корпоративной среде.

Как лицензируется TrueSource

Продукты предлагаются по многоуровневой модели корпоративных лицензий для площадки. Broadcom подчеркивает, что коммерческая модель добавляет поддержку, проверку, доступ к устранению уязвимостей и операционную экспертизу, не меняя базовые open-source-лицензии самих проектов. Клиенты с корректно лицензированными продуктами также могут передавать Broadcom отдельные непубличные уязвимости, чтобы получить ранний доступ к исправлениям. 13

Иными словами, предприятия платят не за право владения исходным кодом сообщества, а за ответственность и сервисы его жизненного цикла: проверенные сборки, поддержку, исправления и понятного поставщика, который готов отвечать за результат.

Почему Broadcom говорит о растущем риске для цепочки поставок

Broadcom представила TrueSource на фоне растущего давления на компании, которым необходимо защищать зависимости, контейнеры и сервисы данных внутри своих приложений. В качестве примера компания привела заявленный рост более чем на 1 700% числа ежемесячных уведомлений о безопасности Spring — показатель, иллюстрирующий объем работы по проверке и устранению проблем для пользователей экосистемы. 3

Предлагаемый ответ включает несколько уровней:

• компоненты и релизы, отобранные инженерами;
• сборки в изолированной среде с возможностью проверки их происхождения;
• автоматический анализ репозиториев и масштаба потенциального воздействия;
• pull request с предлагаемым исправлением;
• передачу исправлений в upstream, а не создание изолированных патчей; и
• дашборды с информацией об устраненных и сохраняющихся рисках. 13

Речь идет не только о том, чтобы выпустить патч как можно быстрее. Broadcom хочет определить, где именно используется уязвимый компонент, выбрать менее рискованный путь исправления, проверить результат и сохранить связь с сопровождающими проекта, отвечающими за его дальнейшее развитие.

Почему Broadcom настаивает на проверке человеком

Broadcom не отказывается от инструментов на базе ИИ. Компания проводит границу между использованием моделей для ускорения анализа и публикацией сгенерированного кода без инженерной проверки.

Broadcom сослалась на тестирование 1Password Off-by-1 Labs: только 26% из 6 000 патчей, созданных ИИ, одновременно устраняли уязвимость и не ломали приложение. 3 Компания также сообщила, что за пять месяцев ее инженеры использовали более 12 млрд токенов передовых моделей для анализа Spring, однако вручную проверяли каждое предложенное исправление. 3

Отсюда и рабочая формула, которую продвигает Broadcom:

Сопровождение с помощью ИИ, исправление — с одобрения человека.

Модели могут быстро просмотреть большой граф зависимостей, обнаружить вероятные уязвимые пути и предложить изменения в коде. Но инженерам по-прежнему необходимо оценить совместимость, производительность, возможность эксплуатации, риск регрессий и корректность итогового релизного артефакта. 3

Риск неподдерживаемых форков, созданных ИИ

По мнению Broadcom, быстрый форк, созданный ИИ, может устранить непосредственную уязвимость, но одновременно породить долгосрочную проблему сопровождения. Если такой форк остается без поддержки, он начинает расходиться с upstream, может пропустить будущие исправления безопасности, а пользователи перестают понимать, кто отвечает за артефакт и его качество. 23

TrueSource строится на противоположной модели: работать с сопровождающими проектов, при необходимости передавать исправления upstream, проверять процесс сборки артефактов и предоставлять коммерческую сторону, ответственную за поддержку результата. 13

Для корпоративных заказчиков это принципиальное различие. ИИ способен сократить время расследования и подготовки патча, но сам по себе не создает подтвержденное происхождение кода, гарантии совместимости, долгосрочное сопровождение или ответственного участника, к которому можно обратиться после сбоя в production.

Что это значит для ИТ-команд

Трехчастная структура TrueSource дает разным командам собственную точку входа:

• Команды Spring получают отобранные релизы и поддержку безопасности через Spring Enterprise.
• Платформенные команды и специалисты по безопасности приложений получают проверенные артефакты для основных языковых экосистем и усиленные образы контейнеров через Trusted Artifacts.
• Инфраструктурные команды получают поддерживаемые дистрибутивы, автоматизацию и видимость состояния безопасности для PostgreSQL, RabbitMQ, MySQL и Valkey через Data Services. 13

В более широком смысле Broadcom продает управляемый уровень доверия поверх open source. Тезис компании заключается в том, что корпоративному ПО недостаточно одного доступа к исходному коду: нужны проверяемые сборки, участие мейнтейнеров, протестированные исправления и четко определенная сторона, отвечающая за поддержку.

В представленных материалах нет прямой цитаты аналитика IDC Кэти Нортон, поэтому приписывать ей точную формулировку нельзя. Однако доступные источники подтверждают общий вывод, отраженный в анонсе: ИИ рассматривается как инструмент усиления работы инженеров, тогда как окончательное решение по безопасности production-систем остается за человеком. 3