IBM и Red Hat запускают Project Lightwell: $5 млрд против $12,5 млн Linux Foundation — раскол в подходах к безопасности открытого ПО

Рабочий процесс спроектирован просто, но с учетом корпоративных требований: компания находит чувствительную уязвимость в пакете с открытым кодом внутри своего продукта, конфиденциально сообщает о ней в этот центр, а инженеры IBM и Red Hat с помощью ИИ находят, тестируют и подтверждают исправление. На выходе — проверенный патч, готовый к немедленному внедрению . Коммерческая модель реализована по подписке, цена которой, вероятно, зависит от количества используемых клиентом программных пакетов. Взамен бизнес получает «знак качества», подтверждающий безопасность его опенсорс-зависимостей .

Инициатива не возникла в вакууме. Пилотную программу поддержали главные игроки финансового сектора: Bank of America, BNY, Citi, Goldman Sachs, JPMorganChase, Mastercard, Morgan Stanley, Royal Bank of Canada, State Street, Visa и Wells Fargo . Такая активная поддержка со стороны жестко регулируемых и не склонных к риску организаций сигнализирует о том, что Project Lightwell — прямой ответ на корпоративный запрос на выверенные гарантии безопасности для рабочих сред на базе открытого ПО .

Ответ Linux Foundation: $12,5 млн в поддержку мейнтейнеров

Ранее, в марте 2026 года, была анонсирована другая инициатива, показывающая оборотную сторону медали безопасности опенсорса. Linux Foundation объявила о получении $12,5 млн в виде грантов от Anthropic, AWS, GitHub, Google, Google DeepMind, Microsoft и OpenAI . Средствами управляют проект Alpha-Omega и Open Source Security Foundation (OpenSSF), и направлены они непосредственно на самих разработчиков и мейнтейнеров открытого ПО .

Эти инвестиции были напрямую мотивированы всплеском отчетов об уязвимостях, вызванным развитием инструментов на базе ИИ. По мере того как автоматизированные системы и нейросети генерируют все больше находок, недостаточно финансируемые команды разработчиков — часто это одиночки или небольшие группы — оказались просто перегружены объемом работы по анализу поступающих жалоб . Гранты призваны финансировать устойчивые и долгосрочные решения, помогающие мейнтейнерам справляться с этим потоком, а не создавать отдельный коммерческий конвейер по исправлению уязвимостей в обход них .

Ключевое стратегическое расхождение: бизнес против сообщества

Контраст между подходами разительный, и он абсолютно осознанный. Project Lightwell — это модель «от бизнеса — вниз»: коммерческий посредник предоставляет крупным заказчикам проверенную службу безопасности с использованием ИИ . Гранты Linux Foundation же воплощают модель «от сообщества — вверх»: это прямые вливания средств в усиление тех разработчиков и проектов, от которых зависит вся экосистема .

Ни один из подходов нельзя назвать однозначно лучшим. Главный вопрос в том, будут ли эти две модели дополнять друг друга или же начнут конкурировать. Клиринговый центр IBM потенциально мог бы снизить нагрузку на мейнтейнеров, перенаправляя корпоративные отчеты об уязвимостях в свой проверенный пайплайн. Но с другой стороны, он рискует создать двухуровневую систему, в которой только платящие клиенты получат быстрые, надежные «заплатки», а все остальное сообщество будет ждать, пока у перегруженных разработчиков дойдут руки до тех же самых проблем.

Что дальше

Коммерческий запуск Project Lightwell с подпиской ожидается уже в ближайшее время . Гранты Linux Foundation в то же время уже распределяются через программы Alpha-Omega и OpenSSF . Для крупных компаний, чья инфраструктура пронизана открытым кодом, модель клирингового центра предлагает немедленное решение операционных проблем. Для долгосрочного здоровья всей экосистемы гранты решают корневую проблему: недофинансирование разработчиков и хрупкость критической инфраструктуры. Обе стороны исходят из того, что ИИ будет находить уязвимости настолько быстро, что новая модель безопасности станет обязательной для всех без исключения.