IBM과 Red Hat, Lightwell 확장 — 6,500개 이상의 검증된 오픈소스 의존성과 금융 부문 클리어링하우스

IBM과 Red Hat이 Lightwell — 오픈소스 소프트웨어의 취약점 자동 교정 플랫폼 — 을 두 가지 새로운 상용 서비스로 확장했다. 이는 대규모 오픈소스 의존성 포트폴리오를 관리하는 엔터프라이즈 조직을 위해 마련되었다.

오픈소스 보안이 기업의 핵심 과제가 된 이유

현대 엔터프라이즈 소프트웨어는 **90%**에 달하는 오픈소스 구성 요소를 포함한다. 널리 사용되는 의존성의 모든 취약점은 잠재적으로 수천 개의 조직에 영향을 미치며, 전체 포트폴리오 수준에서 패치를 수동으로 추적하고 테스트하고 백포팅하는 것은 자동화 없이는 확장할 수 없다. Lightwell은 생성형 AI와 전문 엔지니어의 작업을 결합하여 이 프로세스를 자동화하고 산업 규모에서 신뢰할 수 있도록 한다.

플랫폼은 프론티어 모델과 오픈소스 모델 및 결과를 검증하는 인간 엔지니어를 포함하는 파이프라인을 사용한다. IBM과 Red Hat은 모든 교정 사항을 업스트림 커뮤니티에 다시 공개한다. 이를 「upstream-always」 모델이라 부르며, 수정 사항이 기업 사용자뿐만 아니라 더 넓은 생태계에도 이익이 되도록 보장한다.

Lightwell Network: 6,500개 이상 검증된 의존성 일반 출시

두 가지 새로운 서비스 중 첫 번째인 Lightwell Network가 오늘 일반 출시되었다. Java, Python 및 기타 생태계의 6,500개 이상의 검증되고 디지털 서명된 의존성 카탈로그에 대한 접근을 제공한다.

각 패치된 의존성에는 이진 파일, 소스 코드, Software Bill of Materials(SBOM)가 함께 제공되어 조직이 소프트웨어 공급망을 완전히 파악할 수 있게 한다. 통합은 코드 드리프트 없이 기존 개발 파이프라인에서 직접 이루어진다. 조직은 보안 수정 사항을 받기 위해 아키텍처를 변경하거나 라이브러리의 새로운 메이저 버전으로 이전할 필요가 없다.

Lightwell Clearinghouse Premier: 금융 서비스 위협 조율

두 번째 서비스인 Lightwell Clearinghouse Premier는 제한 출시 상태로 현재 금융 서비스 부문을 대상으로 한다. 동일한 섹터 내에서 패치 엠바고 조율과 위협 정보 공유를 위한 신뢰할 수 있는 중개자로 기능한다.

조직은 특정 버전 수준에서 대상 교정을 위한 취약점을 제출할 수 있으며, Clearinghouse Premier는 패치가 준비될 때까지 개별 행위자를 위험에 노출시키지 않는 조율된 패치 배포를 보장한다. 공공 부문, 의료, 통신 분야로의 확장이 계획되어 있다.

파트너 생태계

IBM과 Red Hat은 광범위한 기술 및 컨설팅 파트너 생태계를 구성했다. 기술 측면에서 플랫폼을 지원하는 파트너는 AWS, AMD, F5, GitLab, Intel, JFrog, Microsoft, NVIDIA, Palo Alto Networks이다. 엔터프라이즈 환경에 Lightwell을 구현할 컨설팅 파트너로는 IBM Consulting, Red Hat Consulting, Accenture, Deloitte 및 다수의 글로벌 IT 서비스 제공업체인 Atos, Cognizant, EY, HCLTech, Infosys, Kyndryl, TCS가 포함된다.

50억 달러 투자 약정

Lightwell은 IBM과 Red Hat이 앞서 발표한 오픈소스 보안에 대한 50억 달러 투자 약정으로 뒷받침된다. 2만 명 이상의 엔지니어가 플랫폼의 개발 및 운영을 적극적으로 감독한다.

플랫폼은 현재 수천에서 수백만 개의 교정된 패키지를 포괄하며, 그 성장은 생성형 AI 파이프라인이 간단한 업그레이드 없이 엔터프라이즈가 프로덕션에서 계속 사용하는 구 버전의 패치를 식별하고 검증하고 패키징하는 속도에 달려 있다.

결론

Lightwell은 너무 오랫동안 산발적인 수동 패치로 해결해 왔던 실질적인 문제를 다룬다. 대규모 오픈소스 포트폴리오를 가진 엔터프라이즈가 메이저 버전 업그레이드로 프로덕션 시스템을 불안정하게 만들지 않고 보안 수정 사항을 받을 수 있도록 하는 방법이다. Lightwell Network의 일반 출시와 Clearinghouse Premier의 제한 출시는 함께 개념 검증 단계에서 엔터프라이즈 DevSecOps 프로세스의 표준 일부가 될 수 있는 상용 인프라로의 전환을 표시한다.