Red Hat与IBM联合发布开源AI治理项目asago，并面向高校免费开放Lightwell安全平台

工作流程

该项目提供了一套自动化、可审计的工作流程，将工程和合规团队之间割裂的步骤连接起来。典型流程包括：

• 读取上传的AI治理政策文档
• 通过IBM AI风险图谱，将政策条款映射到公认的风险框架（如NIST AI RMF、OWASP LLM Top 10、EU AI Act）
• 根据识别出的风险生成安全测试用例
• 推荐缓解措施
• 将这些措施转化为可直接部署的配置文件，适用于Kubernetes、Terraform和Ansible等工具

每一步都会生成文档化的审计追踪记录，将某一政策条款与具体的测试或运行时控制措施关联起来，审查人员可以追溯每一个运行中的安全防护措施背后的规则依据。Red Hat表示，该项目旨在将部署周期从“数月缩短至数天”。

标准对齐

项目明确支持 NIST AI RMF（风险管理框架）、OWASP LLM Top 10 以及 欧盟AI法案（EU AI Act）。

创始合作伙伴

创始联盟包括以下机构：

• Red Hat（牵头方）
• IBM Research
• Microsoft
• NVIDIA
• MIT林肯实验室
• 北卡罗来纳州立大学
• 艾伦·图灵研究所
• Alquimia AI
• Brave Software
• EvalEval联盟
• 奥地利跨学科转型大学

预计随着项目发展成熟，还会有更多组织加入。

开源许可

asago 采用 Apache 2.0 开源许可证发布。项目代码已在GitHub上开放，供开发者、学术研究人员和企业早期采用者审阅。

面向高校与NGO免费开放Lightwell平台

公告内容

2026年8月4日，IBM和Red Hat宣布，符合条件的大学、非政府组织和智库将获得 Lightwell 平台的免费访问权限。Lightwell 是一个由AI驱动的平台，专门用于发现、验证和修复开源软件包中的漏洞。符合条件的机构从2026年8月起即可开始接入。

工作原理

• Lightwell 结合生成式AI驱动的修复引擎以及IBM和Red Hat工程师的力量。
• 系统识别存在风险的依赖项，制定修复方案，并接受技术验证。
• 参与机构完全保留对其机密信息的控制权——Lightwell 在组织现有环境中运行，无需访问其专有源代码、研究成果或私人数据。
• 该项目采用 “始终向上游提交” 的模式：所有修复方案都会提交给原始开源社区进行审查，因此改进成果能让参与机构之外的广大用户也从中受益。

参与者将获得

• 经过验证的开源软件漏洞修复方案
• 经过数字签名的源代码和软件二进制文件
• 软件物料清单（SBOM）
• 合规文档
• 针对已在生产环境中运行的软件版本设计的修复方案（这对于无法立即进行重大升级的机构尤为重要）

规模与覆盖范围

• Lightwell 平台上经过验证和修复的软件包版本数量已从 约6,500个增长到超过8,000个，其中包括针对 64个此前未公开的漏洞的修复方案。
• 免费访问计划初期覆盖美国超过185所研究型大学以及100家NGO和智库。

背景：推动这些举措的AI安全挑战

这两项公告共同应对了AI时代一系列相互关联的结构性风险：

• AI技术栈中的开源依赖风险：现代AI软件栈高度依赖开源软件包，而AI驱动的攻击者能够大规模利用这些软件包中的漏洞。
• 政策到工程的鸿沟：组织难以将宽泛的AI原则（如欧盟AI法案中的原则）转化为工程师可以部署、审计员可以验证的具体运营控制措施。asago 正是针对这一碎片化问题的直接回应。
• 公益机构资源不足：高校和NGO往往缺乏保障其开源依赖项安全的网络安全人员和预算，使其更容易受到攻击。
• AI助力的威胁：同样能够帮助防御者更快发现弱点的AI能力，也可能帮助攻击者发现和利用易受攻击的系统。

Red Hat AI工程副总裁 Steven Huels 这样描述挑战：“随着组织从实验性的AI试点项目转向长期运行的自主代理系统，建立清晰的运营护栏已成为关键的基础设施需求”。

这些公告建立在2026年5月宣布的 50亿美元 Project Lightwell 承诺、开放安全AI联盟（由NVIDIA发起，Red Hat为首批成员）以及更广泛的行业共识之上——正如微软的Sarah Bird所说，“没有任何一个组织能够独自应对[AI安全和安全领域]的挑战”。