Red Hat และ IBM เปิดตัว asago แปลงนโยบาย AI เป็นระบบควบคุม พร้อมขยาย Lightwell ให้มหาวิทยาลัยใช้ฟรี

แนวคิดสำคัญคือการปิดช่องว่างระหว่างเอกสารนโยบายที่ฝ่ายกำกับดูแลหรือฝ่ายกฎหมายจัดทำขึ้น กับสิ่งที่ทีมวิศวกรรมสามารถตั้งค่า ทดสอบ และนำไปใช้จริงในระบบผลิตได้

จากเอกสารนโยบายสู่คอนฟิกที่พร้อมใช้งาน

asago สร้างเวิร์กโฟลว์แบบอัตโนมัติและตรวจสอบย้อนหลังได้ เพื่อเชื่อมขั้นตอนที่มักกระจัดกระจายอยู่ระหว่างทีมกำกับดูแล นักวิทยาศาสตร์ข้อมูล และผู้ดูแลโครงสร้างพื้นฐาน

กระบวนการโดยทั่วไปประกอบด้วย:

• อ่านเอกสารนโยบายด้านธรรมาภิบาล AI ที่อัปโหลดเข้าระบบ
• จับคู่ข้อกำหนดในนโยบายกับกรอบประเมินความเสี่ยงที่เป็นที่ยอมรับ เช่น NIST AI RMF หรือกรอบการจัดการความเสี่ยง AI ของสถาบันมาตรฐานและเทคโนโลยีแห่งชาติสหรัฐฯ, OWASP LLM Top 10 และ EU AI Act ผ่าน IBM AI Risk Atlas
• สร้างการทดสอบความปลอดภัยที่เชื่อมโยงกับความเสี่ยงที่พบ
• เสนอแนวทางลดหรือบรรเทาความเสี่ยง
• แปลงคำแนะนำเป็นคอนฟิกที่พร้อมนำไปใช้งานกับเครื่องมืออย่าง Kubernetes, Terraform และ Ansible

แต่ละขั้นตอนจะสร้างบันทึกการตรวจสอบ ทำให้ผู้ตรวจสอบสามารถไล่ย้อนจากมาตรการป้องกันที่ทำงานอยู่ในระบบกลับไปยังข้อกำหนดในนโยบายที่เป็นเหตุผลรองรับได้ Red Hat ระบุว่าโครงการนี้มีเป้าหมายลดระยะเวลาการนำมาตรการควบคุมไปใช้งาน จากระดับหลายเดือนเหลือเพียงไม่กี่วัน

มาตรฐานและพันธมิตรของ asago

โครงการนี้ระบุการเชื่อมโยงกับกรอบสำคัญ ได้แก่ NIST AI RMF, OWASP LLM Top 10 และ EU AI Act การอิงกรอบเหล่านี้ช่วยให้ข้อกำหนดด้านความปลอดภัยและการปฏิบัติตามกฎระเบียบถูกนำไปแปลงเป็นการทดสอบและมาตรการทางเทคนิคที่ชัดเจนขึ้น

พันธมิตรผู้ร่วมก่อตั้งประกอบด้วย :

• Red Hat ในฐานะผู้นำโครงการ
• IBM Research
• Microsoft
• NVIDIA
• MIT Lincoln Laboratory
• North Carolina State University
• The Alan Turing Institute
• Alquimia AI
• Brave Software
• EvalEval coalition
• Interdisciplinary Transformation University Austria

คาดว่าจะมีองค์กรเพิ่มเติมเข้าร่วมเมื่อโครงการพัฒนาต่อไป

asago กำลังจัดตั้งภายใต้สัญญาอนุญาตโอเพนซอร์ส Apache License 2.0 และในช่วงก่อตั้ง โค้ดของโครงการเปิดให้ดูบน GitHub สำหรับนักพัฒนา นักวิจัย และผู้เริ่มนำไปทดลองใช้ในองค์กร

Lightwell เปิดให้มหาวิทยาลัยและ NGO ใช้ฟรี

ในวันเดียวกัน IBM และ Red Hat ประกาศโครงการให้ มหาวิทยาลัย องค์กรไม่แสวงกำไร และคลังสมองที่มีสิทธิ์เข้าร่วม ใช้งาน Lightwell ได้โดยไม่เสียค่าใช้จ่าย

Lightwell เป็นแพลตฟอร์มที่ใช้ AI เพื่อค้นหา ตรวจสอบความถูกต้อง และแก้ไขช่องโหว่ในแพ็กเกจซอฟต์แวร์โอเพนซอร์ส โดยการรับสถาบันที่มีสิทธิ์เข้าร่วมเริ่มขึ้นในเดือนสิงหาคม 2026

Lightwell ทำงานอย่างไร

• ใช้เครื่องมือแก้ไขปัญหาที่ขับเคลื่อนด้วย generative AI ร่วมกับการตรวจสอบโดยวิศวกรของ IBM และ Red Hat
• ระบุไลบรารีหรือ dependency ที่มีช่องโหว่ พัฒนาแนวทางแก้ไข และนำแพตช์ไปตรวจสอบทางเทคนิคก่อนส่งมอบ
• ทำงานภายในสภาพแวดล้อมเดิมขององค์กร โดยสถาบันที่เข้าร่วมยังควบคุมข้อมูลลับของตนเอง และไม่จำเป็นต้องเปิดเผยซอร์สโค้ดเฉพาะขององค์กร งานวิจัย หรือข้อมูลส่วนตัว
• ใช้แนวทาง “upstream-always” ซึ่งหมายถึงการส่งการแก้ไขกลับไปให้ชุมชนโอเพนซอร์สต้นทางพิจารณา เพื่อให้ผู้ใช้รายอื่นได้รับประโยชน์ด้วย

สิ่งที่ผู้เข้าร่วมจะได้รับ

• แพตช์ที่ผ่านการตรวจสอบแล้วสำหรับซอฟต์แวร์โอเพนซอร์สที่มีช่องโหว่
• ซอร์สโค้ดและไบนารีซอฟต์แวร์ที่ลงนามดิจิทัล
• Software Bill of Materials (SBOM) หรือรายการส่วนประกอบซอฟต์แวร์
• เอกสารประกอบด้านการปฏิบัติตามข้อกำหนด
• แพตช์สำหรับซอฟต์แวร์เวอร์ชันที่กำลังใช้งานอยู่ในระบบผลิตแล้ว ซึ่งมีความสำคัญต่อองค์กรที่ยังไม่สามารถอัปเกรดระบบครั้งใหญ่ได้ทันที

จำนวนเวอร์ชันแพ็กเกจที่ผ่านการตรวจสอบและแก้ไขผ่าน Lightwell เพิ่มจากประมาณ 6,500 เวอร์ชันเป็นมากกว่า 8,000 เวอร์ชัน และรวมการแก้ไขช่องโหว่ที่ไม่เคยเปิดเผยมาก่อน 64 รายการ

โครงการใช้งานฟรีในระยะแรกครอบคลุมมหาวิทยาลัยวิจัยมากกว่า 185 แห่ง และ NGO กับคลังสมองอีก 100 แห่งในสหรัฐฯ

ทำไมความปลอดภัยของ AI จึงต้องจัดการทั้งนโยบายและซอฟต์แวร์

การประกาศทั้งสองโครงการสะท้อนความเสี่ยงเชิงโครงสร้างหลายด้านที่กำลังเกิดขึ้นพร้อมกันในยุค AI

ความเสี่ยงจาก dependency ในระบบ AI

สแตกซอฟต์แวร์ AI สมัยใหม่พึ่งพาแพ็กเกจโอเพนซอร์สจำนวนมาก ช่องโหว่ในส่วนประกอบเหล่านี้จึงอาจกลายเป็นจุดอ่อนที่ผู้โจมตีซึ่งใช้ AI สามารถค้นหาและนำไปใช้ในวงกว้างได้

ช่องว่างระหว่างนโยบายกับวิศวกรรม

องค์กรจำนวนมากมีหลักการหรือข้อกำหนดระดับสูง เช่น แนวทางตาม EU AI Act แต่ยังแปลงสิ่งเหล่านั้นให้เป็นคอนฟิก การทดสอบ และมาตรการที่วิศวกรนำไปใช้และผู้ตรวจสอบยืนยันได้ไม่ง่ายนัก asago จึงถูกวางตำแหน่งให้เข้ามาจัดการกับขั้นตอนที่เคยแยกส่วนเหล่านี้

สถาบันเพื่อประโยชน์สาธารณะที่มีทรัพยากรจำกัด

มหาวิทยาลัยและ NGO อาจมีบุคลากรหรือ งบประมาณด้านความมั่นคงปลอดภัยไซเบอร์ไม่เพียงพอสำหรับดูแล dependency ทั้งหมดของตนเอง ทำให้ตกเป็นเป้าหมายได้ง่ายขึ้น

AI ช่วยทั้งฝ่ายป้องกันและฝ่ายโจมตี

ความสามารถของ AI ที่ช่วยฝ่ายป้องกันค้นหาจุดอ่อนและพัฒนาแพตช์ได้เร็วขึ้น ก็สามารถช่วยผู้โจมตีค้นหาและใช้ประโยชน์จากระบบที่มีช่องโหว่ได้เช่นกัน

Steven Huels รองประธานฝ่ายวิศวกรรม AI ของ Red Hat กล่าวว่า เมื่อองค์กรเปลี่ยนจากการทดลอง AI ระยะสั้นไปสู่การใช้งานเอเจนต์อัตโนมัติที่ทำงานต่อเนื่อง การกำหนด “รั้วกั้นเชิงปฏิบัติการ” ที่ชัดเจนจะกลายเป็นข้อกำหนดด้านโครงสร้างพื้นฐานที่สำคัญ

การเปิดตัว asago และการขยาย Lightwell ต่อเนื่องจากคำมั่นลงทุน 5 พันล้านดอลลาร์สหรัฐใน Project Lightwell ที่ประกาศเมื่อเดือนพฤษภาคม 2026 รวมถึงการที่ Red Hat เข้าร่วมเป็นสมาชิกก่อตั้งของ Open Secure AI Alliance ซึ่ง NVIDIA เป็นผู้ริเริ่ม

ภาพรวมที่ชัดเจนขึ้นคือ การรักษาความปลอดภัยของ AI ไม่ได้จำกัดอยู่แค่การตรวจสอบโมเดล แต่ครอบคลุมตั้งแต่นโยบาย ซอฟต์แวร์โอเพนซอร์ส ห่วงโซ่อุปทาน ไปจนถึงระบบที่นำไปใช้งานจริง และเป็นโจทย์ที่หลายฝ่ายมองว่าองค์กรใดองค์กรหนึ่งไม่สามารถรับมือได้เพียงลำพัง