Lightwell: IBM y Red Hat buscan cerrar la brecha entre detectar y corregir vulnerabilidades

La Inteligencia Artificial descubre fallas de seguridad más rápido de lo que las organizaciones alcanzan a repararlas, y ese desfasaje es el que buscan cerrar IBM y Red Hat con Lightwell, una propuesta orientada a proteger la cadena de suministro del software de código abierto. La iniciativa combina modelos de IA con un equipo global de más de 20.000 ingenieros para identificar, corregir y mitigar riesgos en las librerías más utilizadas por las empresas, según informaron ambas compañías.

Puntos clave

• Más del 45 % de las vulnerabilidades detectadas en grandes organizaciones sigue sin solución cerca de un año después, según el Centre for Emerging Technology and Security (CETaS) del Alan Turing Institute.
• El software de código abierto representa hasta el 90 % del código empresarial global.
• Los sistemas corporativos albergan un promedio de 581 vulnerabilidades, de acuerdo con datos de Black Duck.
• Lightwell entrega correcciones sobre la versión exacta que ya corre la aplicación, mediante parches retrocompatibles (backporting), sin exigir migraciones.
• IBM y Red Hat ofrecerán acceso gratuito al repositorio de Lightwell a universidades, ONG y think tanks de Estados Unidos.

¿Por qué detectar vulnerabilidades ya no es el problema?

Porque la detección se automatizó y la corrección no. Los sistemas de IA analizan código e infraestructura de forma continua y producen hallazgos a un ritmo que los equipos de seguridad no logran absorber. El cuello de botella se corrió hacia la remediación: el volumen de fallas conocidas crece más rápido que la capacidad de aplicar parches.

Ese corrimiento también cambia el lugar que ocupa la ciberseguridad dentro de las compañías. La premisa de que el objetivo principal era visibilizar fallas mediante análisis de código e infraestructura quedó atrás, y el área dejó de ser puramente reactiva para volverse una cuestión de negocio y de gobernanza, empujada además por nuevas exigencias regulatorias.

«Para los líderes, los principales puntos de reflexión de este cambio son tres: ¿con qué rapidez se pueden remediar las vulnerabilidades? ¿Dónde están las brechas entre la detección y la acción? ¿Cómo obtener correcciones de paquetes comunitarios a tiempo?», dijo Andrea Cavallari, Field CTO para Latinoamérica en Red Hat.

El código abierto, en el centro de la ecuación

Las aplicaciones modernas descansan sobre componentes de código abierto en una proporción que llega al 90 % del código empresarial global. Ese ecosistema, sin embargo, opera bajo presión permanente: según datos de Black Duck, los sistemas corporativos conviven con un promedio de 581 vulnerabilidades.

La cifra convive con otra igual de incómoda. Un relevamiento del Centre for Emerging Technology and Security (CETaS), del Alan Turing Institute, indica que más del 45 % de las vulnerabilidades identificadas en grandes organizaciones permanece cerca de un año sin corregir. En la práctica, buena parte del inventario de riesgos conocidos queda abierto durante meses.

Parches sobre la versión que ya está en producción

Ahí aparece la diferencia técnica que IBM y Red Hat reivindican para Lightwell. En vez de exigir una actualización a la versión más reciente de una librería, la corrección se entrega sobre la versión exacta que opera la aplicación. La técnica —conocida como backporting— evita migraciones y actualizaciones complejas, que son justamente el motivo por el que muchos parches quedan postergados en entornos productivos.

Según la información publicada por las compañías, el servicio funciona por suscripción anual: los clientes acceden a las remediaciones a través de los repositorios de Lightwell y las integran a sus procesos de compilación existentes. El foco inicial está puesto en el ecosistema Maven/Java, con expansión prevista hacia PyPI, npm y Go, además de infraestructura, plataformas de datos y marcos de desarrollo de IA.

Un desafío con responsabilidad compartida

Como las aplicaciones empresariales dependen de componentes desarrollados por comunidades diversas, proteger esa cadena excede a cualquier proveedor individual. Lightwell se integra con un ecosistema de socios y colabora con iniciativas de la industria junto a la Linux Foundation, OpenAI y Anthropic. Es la misma lógica de alianzas que Red Hat viene aplicando en otros frentes, como su incorporación junto a NVIDIA a la Open Secure AI Alliance. A eso se suma el acceso gratuito al repositorio para universidades, ONG y think tanks estadounidenses, dirigido a instituciones de investigación y formación de talento.

¿Qué cambia para las empresas de América Latina?

La región combina presión por modernizar con control estricto de costos, y ahí un modelo que corrige sin forzar migraciones tiene un atractivo concreto: reduce exposición sin tocar la estabilidad de los sistemas en producción ni abrir proyectos de actualización que demandan presupuesto y tiempo de equipos escasos.

En un escenario donde la IA acelera el hallazgo de fallas, la ventaja competitiva queda del lado de quienes respondan con más agilidad, precisión y escala. Más información sobre la iniciativa está disponible en el sitio oficial de Lightwell.

Fuente: Red Hat