Broadcom 於拉斯維加斯舉行的 VMware Explore 2026 發布 TrueSource by Broadcom，定位是一套面向企業、具商業支援並可驗證建置的開源軟件組合。新方案把 Spring、生態系統內更廣泛的軟件套件、容器，以及數據引擎，納入同一套安全及支援策略。13

Broadcom 傳達的重點相當直接：AI 可以協助尋找漏洞、分析依賴關係及提出修補建議，但在修補程式正式進入生產環境前，仍應由負責任的工程師核實程式碼、建置過程和實際運行影響。

TrueSource 包括甚麼？

TrueSource 目前由三項商業支援服務組成。

1. Spring Enterprise

Spring Enterprise 是 Broadcom 面向 Spring 生態系統的服務，提供由 Spring 開發及維護團隊整理的版本，並加入主動式依賴掃描、經人手驗證的修補，以及不同支援版本線之間的協調修復。13

對依賴大量間接程式庫的企業應用程式而言，這個定位尤其重要。Broadcom 並非把每個漏洞視為獨立的套件更新，而是將 Spring Enterprise 描述為一項與上游生態系統連結的版本維護及修復服務。

2. TrueSource Trusted Artifacts

TrueSource Trusted Artifacts 將同一套做法伸延至 Spring 以外。Broadcom 表示，服務會為超過 5,000 個經驗證 Java 程式庫提供 clean-room、SLSA Build Level 3 建置，並擴展涵蓋 Java、Python 及 Node.js。服務亦包括與 Spring Boot 版本精確對齊的套件，以及經加固的 Bitnami 容器映像。13

對平台及保安團隊來說，主要價值在於來源追溯及一致性：軟件套件會在受控環境中建置，配合受支援的軟件版本，讓企業毋須單靠分散而未經驗證的供應鏈來源提取依賴項。

3. TrueSource Data Services

TrueSource Data Services 覆蓋四款常用數據引擎：PostgreSQL、RabbitMQ、MySQL 及 Valkey。Broadcom 表示，服務把可信軟件套件、商業支援、部署專業知識、自動化，以及保安可視性或安全態勢儀表板功能結合起來。13

換句話說，TrueSource 不只是程式庫保安產品，亦瞄準企業在部署、更新和監察開源數據基礎設施時所面對的日常運維負擔。

TrueSource 如何授權？

Broadcom 以分級的網站授權方案提供相關服務。公司的說法是，商業模式增加支援、驗證、修復服務及運維專業知識，但不會改變底層開源軟件本身的授權條款。持有合適產品授權的合資格客戶，亦可把部分未公開漏洞交予 Broadcom，以提早取得修復支援。13

實際上，企業付費購買的是圍繞開源軟件的責任承擔及生命週期服務，而不是開源社群程式碼本身的所有權。

Spring 保安公告大增，供應鏈壓力加劇

Broadcom 以企業需要保護應用程式內的依賴套件、容器及數據服務為背景，介紹 TrueSource 的必要性。公司引用一項數據，指 Spring 每月保安公告數量增加逾 1,700%，以說明 Spring 用戶所面對的修復工作量。3

Broadcom 提出的做法包括多個層面：

• 由工程師整理及維護的元件和版本；
• clean-room 及可驗證的軟件建置；
• 自動分析程式碼庫及漏洞影響範圍；
• 提出修復用的 pull request；
• 在適當情況下把修復貢獻回上游；以及
• 以儀表板顯示已解決及仍然存在的風險。13

重點不只是「快手整個 patch 出嚟」。Broadcom 表示，目標是先了解漏洞在哪些地方被使用，再選擇風險較低的修復路徑，驗證結果，並讓修復工作繼續與負責該項目的維護者保持連結。

為甚麼 AI 修補仍要由人手把關？

Broadcom 並不是否定 AI 輔助保安工作，而是區分「利用 AI 加快分析」與「讓生成程式碼未經審核便成為生產修補」兩件事。

公司引用 1Password 的 Off-by-1 Labs 測試結果：在 6,000 個由 AI 生成的修補程式中，只有 26% 同時做到修復漏洞而又沒有令應用程式失效。3 Broadcom 亦表示，工程師在五個月內使用超過 120 億個前沿模型 tokens 分析 Spring，但每一項建議修復仍由人手審查。3

因此，Broadcom 強調的運作模式是：

AI 輔助維護，人手批准修復。

模型可以協助團隊檢視龐大的依賴圖、找出可能受漏洞影響的路徑，以及提出程式碼修改建議；但工程師仍須評估兼容性、效能、可被利用程度、回歸風險，以及最終發布套件是否正確。3

AI 生成分支版本的隱憂

Broadcom 的論點是，快速生成的 AI 分支版本或許可以即時處理某個漏洞，卻可能留下長遠的維護問題。假如該分支沒有持續維護，便可能逐漸偏離上游、錯過其後的安全修復，使用者亦難以確認誰要為該軟件套件負責。23

TrueSource 所採用的是另一套模式：與項目維護者合作，在適當情況下把修復貢獻回上游；驗證軟件套件的建置方式；並由商業支援方為最終軟件提供持續支援。13

對企業買家而言，兩者的分別不容忽視。AI 或許可以縮短調查漏洞及準備修補的時間，但它本身並不能確立軟件來源、兼容性、長期維護責任，亦不能在修補導致生產系統故障時，單獨提供問責機制。

對企業科技團隊有甚麼影響？

TrueSource 的三部分，分別為不同團隊提供切入點：

• Spring 團隊可透過 Spring Enterprise 取得整理好的版本及安全支援；
• 平台及應用程式保安團隊可透過 Trusted Artifacts 取得涵蓋主要語言生態系統的經驗證套件，以及加固版容器映像；
• 基礎設施團隊則可透過 Data Services，為 PostgreSQL、RabbitMQ、MySQL 及 Valkey 取得受支援的發行版本、部署自動化及安全可視性。13

更宏觀來看，Broadcom 正在銷售一層圍繞開源軟件的「受管理信任層」。公司的核心主張是，企業軟件需要的不只是能夠讀取原始碼，還包括可驗證建置、持續參與的維護者、經測試的修復方案，以及清晰而有責任承擔能力的支援關係。

現有報道沒有提供 IDC Katie Norton 的直接引述，因此無法核實她的具體說法。不過，現有證據支持公告所反映的較廣泛結論：AI 正被定位為加快軟件維護工作的倍增器，而人類工程判斷仍然是生產環境安全決策的最後控制點。3

Broadcom 於拉斯維加斯舉行的 VMware Explore 2026 發布 TrueSource by Broadcom，定位是一套面向企業、具商業支援並可驗證建置的開源軟件組合。新方案把 Spring、生態系統內更廣泛的軟件套件、容器，以及數據引擎，納入同一套安全及支援策略。13

Broadcom 傳達的重點相當直接：AI 可以協助尋找漏洞、分析依賴關係及提出修補建議，但在修補程式正式進入生產環境前，仍應由負責任的工程師核實程式碼、建置過程和實際運行影響。

TrueSource 包括甚麼？

TrueSource 目前由三項商業支援服務組成。

1. Spring Enterprise

Spring Enterprise 是 Broadcom 面向 Spring 生態系統的服務，提供由 Spring 開發及維護團隊整理的版本，並加入主動式依賴掃描、經人手驗證的修補，以及不同支援版本線之間的協調修復。13

對依賴大量間接程式庫的企業應用程式而言，這個定位尤其重要。Broadcom 並非把每個漏洞視為獨立的套件更新，而是將 Spring Enterprise 描述為一項與上游生態系統連結的版本維護及修復服務。

2. TrueSource Trusted Artifacts

TrueSource Trusted Artifacts 將同一套做法伸延至 Spring 以外。Broadcom 表示，服務會為超過 5,000 個經驗證 Java 程式庫提供 clean-room、SLSA Build Level 3 建置，並擴展涵蓋 Java、Python 及 Node.js。服務亦包括與 Spring Boot 版本精確對齊的套件，以及經加固的 Bitnami 容器映像。13

對平台及保安團隊來說，主要價值在於來源追溯及一致性：軟件套件會在受控環境中建置，配合受支援的軟件版本，讓企業毋須單靠分散而未經驗證的供應鏈來源提取依賴項。

3. TrueSource Data Services

TrueSource Data Services 覆蓋四款常用數據引擎：PostgreSQL、RabbitMQ、MySQL 及 Valkey。Broadcom 表示，服務把可信軟件套件、商業支援、部署專業知識、自動化，以及保安可視性或安全態勢儀表板功能結合起來。13

換句話說，TrueSource 不只是程式庫保安產品，亦瞄準企業在部署、更新和監察開源數據基礎設施時所面對的日常運維負擔。

TrueSource 如何授權？

Broadcom 以分級的網站授權方案提供相關服務。公司的說法是，商業模式增加支援、驗證、修復服務及運維專業知識，但不會改變底層開源軟件本身的授權條款。持有合適產品授權的合資格客戶，亦可把部分未公開漏洞交予 Broadcom，以提早取得修復支援。13

實際上，企業付費購買的是圍繞開源軟件的責任承擔及生命週期服務，而不是開源社群程式碼本身的所有權。

Spring 保安公告大增，供應鏈壓力加劇

Broadcom 以企業需要保護應用程式內的依賴套件、容器及數據服務為背景，介紹 TrueSource 的必要性。公司引用一項數據，指 Spring 每月保安公告數量增加逾 1,700%，以說明 Spring 用戶所面對的修復工作量。3

Broadcom 提出的做法包括多個層面：

• 由工程師整理及維護的元件和版本；
• clean-room 及可驗證的軟件建置；
• 自動分析程式碼庫及漏洞影響範圍；
• 提出修復用的 pull request；
• 在適當情況下把修復貢獻回上游；以及
• 以儀表板顯示已解決及仍然存在的風險。13

重點不只是「快手整個 patch 出嚟」。Broadcom 表示，目標是先了解漏洞在哪些地方被使用，再選擇風險較低的修復路徑，驗證結果，並讓修復工作繼續與負責該項目的維護者保持連結。

為甚麼 AI 修補仍要由人手把關？

Broadcom 並不是否定 AI 輔助保安工作，而是區分「利用 AI 加快分析」與「讓生成程式碼未經審核便成為生產修補」兩件事。

公司引用 1Password 的 Off-by-1 Labs 測試結果：在 6,000 個由 AI 生成的修補程式中，只有 26% 同時做到修復漏洞而又沒有令應用程式失效。3 Broadcom 亦表示，工程師在五個月內使用超過 120 億個前沿模型 tokens 分析 Spring，但每一項建議修復仍由人手審查。3

因此，Broadcom 強調的運作模式是：

AI 輔助維護，人手批准修復。

模型可以協助團隊檢視龐大的依賴圖、找出可能受漏洞影響的路徑，以及提出程式碼修改建議；但工程師仍須評估兼容性、效能、可被利用程度、回歸風險，以及最終發布套件是否正確。3

AI 生成分支版本的隱憂

Broadcom 的論點是，快速生成的 AI 分支版本或許可以即時處理某個漏洞，卻可能留下長遠的維護問題。假如該分支沒有持續維護，便可能逐漸偏離上游、錯過其後的安全修復，使用者亦難以確認誰要為該軟件套件負責。23

TrueSource 所採用的是另一套模式：與項目維護者合作，在適當情況下把修復貢獻回上游；驗證軟件套件的建置方式；並由商業支援方為最終軟件提供持續支援。13

對企業買家而言，兩者的分別不容忽視。AI 或許可以縮短調查漏洞及準備修補的時間，但它本身並不能確立軟件來源、兼容性、長期維護責任，亦不能在修補導致生產系統故障時，單獨提供問責機制。

對企業科技團隊有甚麼影響？

TrueSource 的三部分，分別為不同團隊提供切入點：

• Spring 團隊可透過 Spring Enterprise 取得整理好的版本及安全支援；
• 平台及應用程式保安團隊可透過 Trusted Artifacts 取得涵蓋主要語言生態系統的經驗證套件，以及加固版容器映像；
• 基礎設施團隊則可透過 Data Services，為 PostgreSQL、RabbitMQ、MySQL 及 Valkey 取得受支援的發行版本、部署自動化及安全可視性。13

更宏觀來看，Broadcom 正在銷售一層圍繞開源軟件的「受管理信任層」。公司的核心主張是，企業軟件需要的不只是能夠讀取原始碼，還包括可驗證建置、持續參與的維護者、經測試的修復方案，以及清晰而有責任承擔能力的支援關係。

現有報道沒有提供 IDC Katie Norton 的直接引述，因此無法核實她的具體說法。不過，現有證據支持公告所反映的較廣泛結論：AI 正被定位為加快軟件維護工作的倍增器，而人類工程判斷仍然是生產環境安全決策的最後控制點。3