asago перетворюватиме політики безпеки ШІ на робочі технічні налаштування

Його завдання — скоротити розрив між фахівцями з комплаєнсу, які формулюють вимоги в документах, та інженерами, яким потрібно налаштувати, протестувати й розгорнути відповідні механізми в робочому середовищі .

Як працюватиме проєкт

asago задуманий як автоматизований процес із повним аудиторським слідом. Він має поєднати розрізнені етапи роботи команд, що відповідають за відповідність вимогам, розробку моделей і керування інфраструктурою . Типовий процес включатиме:

• аналіз завантажених документів із політиками управління ШІ;
• зіставлення окремих положень із визнаними рамками ризиків — зокрема NIST AI RMF, OWASP LLM Top 10 і EU AI Act — через IBM AI Risk Atlas ;
• створення тестів безпеки, пов’язаних із виявленими ризиками;
• рекомендації щодо їхнього зниження;
• перетворення рекомендацій на готові до розгортання конфігурації для таких інструментів, як Kubernetes, Terraform та Ansible .

Кожен етап формуватиме документований ланцюжок перевірки: від конкретного пункту політики до тесту або засобу контролю під час роботи системи. Це дасть змогу аудиторам і технічним командам простежити, яким правилом обґрунтований певний захисний механізм . Red Hat заявила, що asago має скоротити термін упровадження таких заходів із місяців до днів .

Стандарти, партнери та ліцензія

Проєкт прямо орієнтується на три ключові нормативні й галузеві орієнтири:

• NIST AI Risk Management Framework — рамку Національного інституту стандартів і технологій США для управління ризиками ШІ;
• OWASP LLM Top 10 — перелік найпоширеніших ризиків для великих мовних моделей;
• EU AI Act — законодавство Європейського Союзу про штучний інтелект .

До коаліції засновників увійшли :

• Red Hat — координатор проєкту;
• IBM Research;
• Microsoft;
• NVIDIA;
• MIT Lincoln Laboratory;
• North Carolina State University;
• The Alan Turing Institute;
• Alquimia AI;
• Brave Software;
• EvalEval coalition;
• Interdisciplinary Transformation University Austria.

Очікується, що в міру розвитку ініціативи до неї долучатимуться інші організації. asago створюється за ліцензією Apache 2.0, а його код на етапі формування проєкту доступний на GitHub для розробників, академічних дослідників і перших корпоративних користувачів .

Lightwell: безкоштовний захист для університетів і НУО

Того самого дня IBM і Red Hat повідомили, що відповідні університети, неурядові організації та аналітичні центри отримають безкоштовний доступ до Lightwell — платформи на основі ШІ, яка виявляє, перевіряє та усуває вразливості у пакетах відкритого програмного забезпечення . Підключення установ розпочалося в серпні 2026 року .

Lightwell поєднує генеративний рушій виправлення вразливостей із роботою інженерів IBM і Red Hat . Платформа знаходить небезпечні залежності, пропонує виправлення та піддає їх технічній перевірці.

За заявами компаній, установи-учасниці зберігають контроль над конфіденційною інформацією: Lightwell працює в наявному середовищі організації й не потребує доступу до закритого програмного коду, досліджень або приватних даних . Програма також дотримується підходу «upstream-always»: виправлення передаються на розгляд спільнотам, які підтримують відповідні відкриті проєкти. У разі схвалення користь від них отримують не лише учасники програми, а й ширша екосистема .

Що отримають учасники

Пакет Lightwell передбачає:

• перевірені виправлення для вразливого відкритого ПЗ;
• цифрово підписаний вихідний код і бінарні файли;
• SBOM — перелік компонентів програмного забезпечення;
• документацію для підтвердження відповідності вимогам;
• виправлення для версій програм, які вже працюють у виробничому середовищі .

Останній пункт особливо важливий для установ, які не можуть одразу перейти на нові мажорні версії програмного забезпечення.

Кількість перевірених і виправлених версій пакетів, доступних через Lightwell, зросла приблизно з 6500 до понад 8000. Серед них — виправлення для 64 раніше нерозкритих вразливостей . Початкова безкоштовна програма охоплює понад 185 дослідницьких університетів і 100 НУО та аналітичних центрів у США .

Чому це важливо для безпеки ШІ

Сучасні AI-системи залежать від великої кількості відкритих бібліотек і пакетів. Вразливість в одному з компонентів може поширити ризик на весь ланцюг постачання програмного забезпечення, а інструменти ШІ здатні допомагати зловмисникам знаходити й експлуатувати такі слабкі місця у великих масштабах .

Водночас організаціям складно перетворити загальні принципи — наприклад, вимоги Європейського акта про ШІ — на правила, які інженер може налаштувати, а аудитор перевірити. Саме цю роз’єднаність між політикою та інженерною практикою має зменшити asago .

Ще одна проблема — обмежені ресурси університетів і громадських організацій. У них часто немає достатньої кількості фахівців із кібербезпеки або бюджету для регулярного захисту всіх відкритих залежностей . Безкоштовний доступ до Lightwell покликаний частково знизити цей бар’єр.

Стівен Хюелс, віцепрезидент Red Hat з інженерії ШІ, сформулював виклик так: «Коли організації переходять від експериментальних пілотних проєктів із ШІ до тривалої роботи автономних агентів, чіткі операційні обмеження стають критично важливою вимогою до інфраструктури» .

Нові оголошення продовжують травневу ініціативу Project Lightwell із фінансуванням у 5 млрд доларів США та розвиваються на тлі створення Open Secure AI Alliance, до якої NVIDIA залучила Red Hat як одного з перших учасників . Загальний напрям цих проєктів очевидний: безпека ШІ та відкритого програмного забезпечення потребує спільної роботи технологічних компаній, дослідницьких установ і розробницьких спільнот, а не рішень однієї організації .