Proteger a tecnologia que sustenta as empresas: um roteiro para o código aberto

As vulnerabilidades impulsionadas por IA não transformam o software de código aberto em um risco empresarial inaceitável. Embora este represente mais de três quartos da base do código corporativo, continua a ser a infraestrutura mais segura e resiliente, dado que não existe uma alternativa real: o software proprietário funciona como uma caixa-preta onde as falhas se multiplicam nas sombras, enquanto o código aberto oferece transparência, inspeção pública e incentivo coletivo para resolver as falhas de segurança de forma proativa.

O desafio operacional: velocidade e fragmentação

A IA veio acelerar a identificação de vulnerabilidades críticas (CVE), que podem agora ser detetadas em horas. O registo de falhas cresceu mais de 520% desde 2016, mas menos de 1% das anomalias identificadas por IA foram corrigidas. O verdadeiro constrangimento já não é a detecção, mas a capacidade operacional das empresas para absorver e implementar correções a tempo.

Essa situação é agravada pela falta de coordenação dos procedimentos de defesa: as empresas tendem a usar as mesmas dependências base (Spring, Log4j, OpenSSL), mas muitas vezes procuram soluções próprias criando por exemplo, forks privados. Essa duplicidade de esforços faz disparar os custos e fragmenta a segurança. Estas situações fazem com que a solução passe por fazer contribuições upstream (de volta à origem) e também pela agilidade inter-departamental.

Passos práticos para assegurar a cadeia de entrega:

• Escolher plataformas com reputação upstream: Verificar fornecedores que contribuam para a comunidade e apliquem backporting responsável.
• Auditar o mapa de dependências: Identificar cada biblioteca, versão e dependência  em produção.
• Medir e acelerar o ciclo de correção (patching): Definir metas rígidas para encurtar a transição da correção para a produção.
• Automatizar a reconstrução: Substituir implementações manuais por pipelines automatizados com capacidade de análise de ameaças em tempo real.
• Adoptar soluções ativas: Integrar defesas em tempo de execução e imagens assinadas (Red Hat Hardened Images, OpenShift ACS).

O Projeto Lightwell: remediação massiva com IA e engenharia

Para resolver a lacuna entre detecção e correção, a IBM e a Red Hat apresentam o Projeto Lightwell: um investimento estratégico de 5 bilhões de dólares com uma equipa global de 20.000 engenheiros dedicada a redefinir a cibersegurança corporativa na era da automação.

O Lightwell leva o backporting a uma nova escala (inserir correções nas versões estáveis em produção). Não só para o sistema operativo, mas também abrangendo ecossistemas críticos como Maven/Java, PyPI (Python) e npm (JavaScript). Ao combinar inspeção por IA com engenharia especializada, é possível aplicar correções cirúrgicas, eliminando a necessidade de atualizações massivas que tendem a destabilizar o negócio.

Distintamente do desenvolvimento isolado, cada correção gerada pelo Lightwell é entregue ao cliente e devolvida ao projeto upstream de origem, evitando o acumular de forks privados.

Um centro de confiança compartilhado Mediante o recurso ao Lightwell

A IBM e a Red Hat colaboram com líderes do setor financeiro e de infraestruturas críticas, para operar um centro de inteligência compartilhada. Os seus membros obtêm:

1. Defesa coordenada: Compartilhar de descobertas e acesso a  correções antes de sua divulgação pública.
2. Conformidade regulatória: Correções assinadas criptograficamente, acompanhadas pelo seu inventário SBOM (Software Bill of Materials).
3. Proteção do ecossistema: Garantia upstream-always para manter o código aberto,  global e seguro.

O código aberto construiu a empresa moderna. A resposta coordenada e a automação,  garantem que este continue sendo o motor mais seguro.

Conteúdo co-produzido pela MediaNext e pela Red Hat