從政策到程式碼：Red Hat 與 IBM 推出 asago 開源專案，並擴大 Lightwell 免費使用範圍

工作流程

該專案提供一個 自動化、可稽核的工作流程，串連起工程與法遵團隊之間分散的步驟 。其流程通常包含：

• 讀取上傳的 AI 治理政策文件
• 透過 IBM AI 風險圖譜（IBM AI Risk Atlas），將政策條款對應至公認的風險框架（例如 NIST AI RMF、OWASP LLM Top 10、歐盟 AI 法案）
• 根據識別出的風險產生安全測試
• 建議緩解措施
• 將這些建議轉換為 可直接部署的設定檔，適用於 Kubernetes、Terraform 與 Ansible 等工具

每個步驟都會產生一份文件化的稽核軌跡，將政策條款與特定的測試或執行時期控制措施連結起來，讓審查者能夠追溯某個安全防護機制所依據的規則 。Red Hat 表示，該專案旨在將部署週期從數月縮短至數天 。

標準對應

該專案明確對應 NIST AI RMF（風險管理框架）、OWASP LLM Top 10 以及 歐盟 AI 法案 。

初始合作夥伴

初始聯盟成員包括 ：

• Red Hat（主導）
• IBM Research
• Microsoft
• NVIDIA
• MIT 林肯實驗室
• 北卡羅來納州立大學
• 艾倫圖靈研究所
• Alquimia AI
• Brave Software
• EvalEval 聯盟
• 奧地利跨領域轉型大學

隨著專案發展，預計將有更多組織加入。

授權方式

asago 採用 Apache 2.0 開源授權 。專案程式碼已以形成階段在 GitHub 上開放，供開發者、學術研究人員及企業早期採用者檢閱 。

大學與非營利組織免費使用 Lightwell 平台

宣布內容

2026 年 8 月 4 日，IBM 與 Red Hat 宣布，符合資格的大學、非營利組織與智庫 將可 免費使用 Lightwell。這是一個由 AI 驅動的平台，能夠在開源軟體套件中發現、驗證並修復漏洞 。符合條件的機構已可於 2026 年 8 月開始加入 。

運作方式

• Lightwell 使用 生成式 AI 驅動的修復引擎，並搭配 IBM 與 Red Hat 的工程師 。
• 該系統會識別有漏洞的依賴套件，提出修補方案，並對其進行技術驗證 。
• 參與機構 保留對其機密資訊的控制權——Lightwell 在機構現有環境內運作，無需存取專有原始碼、研究成果或私人資料 。
• 該計畫遵循 「向上游提交」 原則：修補程式會提交給原始開源社群審查，讓所有使用者都能受益，不限於參與機構 。

參與機構可獲得的資源

• 經驗證的開源軟體漏洞修補程式
• 數位簽章的原始碼與軟體二進位檔
• 軟體物料清單 (SBOM)
• 合規文件
• 針對 已在生產環境中運作的軟體版本 設計的修補程式（對於無法立即進行重大升級的機構而言非常重要）

規模與涵蓋範圍

• Lightwell 中經驗證與修復的套件版本數量已從 約 6,500 個 成長至 超過 8,000 個，其中包括針對 64 個此前未公開漏洞 的修補 。
• 此免費使用計畫初期涵蓋 美國超過 185 所研究型大學以及 100 個非營利組織與智庫 。

更廣泛的背景：驅動這些倡議的 AI 安全挑戰

這兩項宣布共同回應了 AI 時代一系列相互關聯的結構性風險：

• AI 堆疊中的開源軟體依賴風險：現代的 AI 軟體堆疊高度依賴開源套件，而這些套件中的漏洞可能被 AI 驅動的攻擊者大規模利用 。
• 政策與工程之間的鴻溝：組織難以將廣泛的 AI 原則（如歐盟 AI 法案中的規定）轉化為工程師可部署、稽核員可驗證的營運控制措施。asago 正是為了直接回應此類碎片化問題而生 。
• 資源不足的公益機構：大學與非營利組織通常缺乏足夠的資安人員與預算來保護其開源軟體依賴，使其容易遭受攻擊 。
• AI 驅動的威脅：能夠幫助防禦者更快識別弱點的 AI 能力，同樣可能幫助攻擊者發現並利用有漏洞的系統 。

Red Hat 的 AI 工程副總裁 Steven Huels 如此描述此項挑戰：「隨著組織從實驗性的 AI 試點專案，過渡到長期運行、自主的 AI 代理，建立清晰的營運護欄已成為一項關鍵的基礎設施需求」。

這些宣布奠基於 2026 年 5 月公布的 50 億美元 Project Lightwell 承諾 、Open Secure AI Alliance（由 NVIDIA 發起，Red Hat 為初始成員之一），以及業界更廣泛的共識：即「沒有任何一個組織能獨自應對（AI 安全與保安的）挑戰」（Microsoft 的 Sarah Bird 所言）。