Broadcom TrueSource ile açık kaynak yazılıma doğrulanabilir güven katmanı ekliyor

Broadcom, Las Vegas’ta düzenlenen VMware Explore 2026 etkinliğinde kurumsal kullanıcılar için ticari destekli ve nasıl oluşturulduğu doğrulanabilen açık kaynak yazılımlardan oluşan TrueSource by Broadcom portföyünü tanıttı. Yeni yapı; Spring ekosistemini, daha geniş yazılım bileşenlerini, konteyner imajlarını ve veri motorlarını tek bir destek ve güvenlik yaklaşımında birleştiriyor. 13

Broadcom’un mesajı net: Yapay zekâ güvenlik açıklarını bulmayı ve yama önermeyi hızlandırabilir; ancak düzeltme üretim ortamına alınmadan önce kodu, derleme sürecini ve operasyonel etkileri sorumlu mühendislerin doğrulaması gerekiyor.

TrueSource kapsamında neler var?

TrueSource üç ticari destekli hizmetten oluşuyor.

1. Spring Enterprise

Spring Enterprise, Spring ekosistemini kullanan kuruluşlara yönelik Broadcom hizmeti. Spring’i geliştiren ve sürdüren ekip tarafından hazırlanan seçilmiş Spring sürümlerinin yanı sıra proaktif bağımlılık taraması, insan tarafından doğrulanmış yamalar ve desteklenen sürüm hatları arasında koordineli düzeltmeler sağlıyor. 13

Bu yaklaşım, çok sayıda dolaylı kütüphaneye dayanan uygulamalar için önem taşıyor. Broadcom, her güvenlik açığını tek başına ele alınacak bir paket güncellemesi olarak görmek yerine Spring Enterprise’ı, üst proje ekosistemine bağlı sürdürülen bir sürüm ve düzeltme hizmeti olarak konumlandırıyor.

2. TrueSource Trusted Artifacts

TrueSource Trusted Artifacts, yaklaşımı Spring’in ötesine taşıyor. Broadcom’a göre hizmet, 5.000’den fazla doğrulanmış Java kütüphanesi için temiz oda ortamında oluşturulmuş SLSA Build Level 3 yapıları sunuyor; Java, Python ve Node.js kapsamı da genişletiliyor. Ayrıca Spring Boot sürümleriyle tam eşleştirme ve güçlendirilmiş Bitnami konteyner imajları sağlanıyor. 13

Platform ve güvenlik ekipleri açısından temel değer önerisi, kaynak ve tutarlılık. Bileşenler kontrollü bir ortamda oluşturuluyor, desteklenen yazılım sürümleriyle hizalanıyor ve parçalı yazılım tedarik zincirinden doğrulanmamış bağımlılıkları doğrudan çekmeye alternatif olarak sunuluyor.

3. TrueSource Data Services

TrueSource Data Services, yaygın kullanılan dört veri motorunu kapsıyor: PostgreSQL, RabbitMQ, MySQL ve Valkey. Broadcom, bu hizmetin güvenilir yazılım bileşenlerini ticari destek, dağıtım uzmanlığı, otomasyon ve güvenlik duruşunu görünür kılan pano özellikleriyle birleştirdiğini belirtiyor. 13

Böylece TrueSource yalnızca kütüphane güvenliğine odaklanan bir ürün olmaktan çıkıyor. Hizmet, açık kaynak veri altyapısının kurumsal ortamlarda dağıtılması, güncellenmesi ve izlenmesiyle ilgili operasyonel yükü de hedefliyor.

TrueSource nasıl lisanslanıyor?

Hizmetler, kademeli site lisansı seçenekleriyle sunuluyor. Broadcom’un konumlandırmasına göre ticari model, temel açık kaynak lisanslarını değiştirmeden destek, doğrulama, düzeltmelere erişim ve operasyonel uzmanlık sağlıyor. Uygun ürünleri geçerli lisanslarla kullanan müşteriler, kamuya açık olmayan belirli güvenlik açıklarını erken düzeltme erişimi için Broadcom’a iletebiliyor. 13

Başka bir deyişle işletmeler, açık kaynak kodunun kendisine sahip olmak için değil; bu kodun etrafındaki sorumluluk, yaşam döngüsü yönetimi ve destek hizmetleri için ödeme yapıyor.

Broadcom’a göre yazılım tedarik zinciri baskısı neden artıyor?

Broadcom, TrueSource’u uygulamaların içindeki bağımlılıkları, konteynerleri ve veri hizmetlerini güvence altına alma baskısının arttığı bir dönemin yanıtı olarak sundu. Şirket, Spring kullanıcılarının karşılaştığı düzeltme yüküne örnek olarak aylık Spring güvenlik duyurularında %1.700’den fazla artış bildirildiğini aktardı. 3

Önerilen yaklaşım birkaç katmandan oluşuyor:

• mühendisler tarafından seçilen bileşenler ve sürümler;
• temiz oda ortamında oluşturulan, doğrulanabilir derlemeler;
• otomatik depo ve etki alanı analizi;
• önerilen düzeltme pull request’leri;
• tekil ve izole yamalar yerine üst projeye katkılar;
• çözülen ve devam eden riskleri gösteren panolar. 13

Buradaki vurgu yalnızca hızlı bir yama üretmek değil. Broadcom; açığın nerede kullanıldığını anlamayı, daha düşük riskli düzeltme yolunu seçmeyi, sonucu doğrulamayı ve düzeltmeyi projeden sorumlu bakımcılarla bağlantılı tutmayı amaçlıyor.

Yapay zekâ stratejisinde insan doğrulaması neden merkezde?

Broadcom, yapay zekâ destekli güvenlik çalışmalarını reddetmiyor. Şirket, modelleri analizi hızlandırmak için kullanmakla üretilen kodu incelemeden üretim ortamına almak arasında net bir ayrım yapıyor.

Şirket, 1Password’un Off-by-1 Labs ekibinin yaptığı testlerde 6.000 yapay zekâ tarafından üretilmiş yamanın yalnızca %26’sının hem güvenlik açığını giderdiğini hem de uygulamayı bozmaktan kaçındığını aktardı. Broadcom ayrıca mühendislerinin beş ay içinde Spring’i analiz etmek için 12 milyardan fazla frontier model belirteci kullandığını, ancak önerilen her düzeltmeyi manuel olarak incelediğini söyledi. 3

Broadcom’un öne çıkardığı çalışma modeli şu şekilde özetlenebilir:

Yapay zekâ destekli bakım, insan onaylı düzeltme.

Modeller, geniş bir bağımlılık grafiğini incelemeye, açığa maruz kalan yolları belirlemeye ve kod değişiklikleri önermeye yardımcı olabilir. Ancak uyumluluk, performans, istismar edilebilirlik, geriye dönük bozulma riski ve son sürüm bileşeninin doğruluğu hâlâ mühendislerin değerlendirmesini gerektiriyor. 3

Yapay zekâ üretimi çatallara ilişkin endişe

Broadcom’un argümanına göre hızlıca oluşturulan bir yapay zekâ çatallaması, kısa vadeli bir güvenlik açığını kapatırken uzun vadede bakım sorununa yol açabilir. Çatal sürdürülmezse üst projeden uzaklaşabilir, sonraki güvenlik düzeltmelerini kaçırabilir ve kullanıcıları bileşenden kimin sorumlu olduğu konusunda belirsizlikte bırakabilir. 23

TrueSource bunun tersine, proje bakımcılarıyla çalışmayı, uygun durumlarda düzeltmeleri üst projeye göndermeyi, bileşenlerin nasıl oluşturulduğunu doğrulamayı ve ortaya çıkan yazılım için ticari bir destek noktası sağlamayı temel alıyor. 13

Bu ayrım kurumsal alıcılar için kritik. Yapay zekâ bir düzeltmeyi araştırmak ve hazırlamak için gereken süreyi azaltabilir; ancak tek başına kaynak güvenilirliği, uyumluluk, uzun vadeli sahiplenme veya bir yamanın üretimde arızaya yol açması durumunda hesap verebilirlik sağlamaz.

Duyuru teknoloji ekipleri için ne ifade ediyor?

TrueSource’un üç parçalı yapısı, farklı ekipler için farklı başlangıç noktaları sunuyor:

• Spring ekipleri, Spring Enterprise üzerinden seçilmiş sürümlere ve güvenlik desteğine erişiyor.
• Platform ve uygulama güvenliği ekipleri, Trusted Artifacts ile başlıca programlama ekosistemlerinde doğrulanmış bileşenlere ve güçlendirilmiş konteyner imajlarına ulaşıyor.
• Altyapı ekipleri, Data Services üzerinden PostgreSQL, RabbitMQ, MySQL ve Valkey için desteklenen dağıtımlar, otomasyon ve güvenlik görünürlüğü elde ediyor. 13

Daha geniş açıdan bakıldığında Broadcom, açık kaynak yazılımın çevresine yönetilen bir güven katmanı satıyor. Şirketin temel tezi şu: Kurumsal yazılım için kaynak koduna erişim tek başına yeterli değil; doğrulanabilir derlemeler, projeye katkı sunmaya devam eden bakımcılar, test edilmiş düzeltmeler ve arkasında sorumlu bir destek ilişkisi de gerekiyor.

Sunulan haber kaynaklarında IDC’den Katie Norton’a ait doğrudan bir alıntı bulunmadığı için, kendisinin kesin değerlendirmesi burada doğrulanamıyor. Ancak mevcut kanıtlar, duyurunun ortaya koyduğu daha geniş sonucu destekliyor: Yapay zekâ bakım çalışmalarında bir hız çarpanı olarak konumlandırılırken, üretim güvenliği kararlarında kontrol noktası insan mühendislik muhakemesi olmaya devam ediyor. 3