IBM e la sua controllata Red Hat hanno annunciato Project Lightwell, un impegno da 5 miliardi di dollari per rafforzare la sicurezza del software open source, soprattutto nella supply chain aziendale e nell’era dell’intelligenza artificiale.
Cosa prevede l’iniziativa
- Creazione di un “enterprise clearinghouse” (una sorta di centro di coordinamento affidabile) per il software open source.
- Utilizzo di capacità AI avanzate (modelli frontier) per individuare, validare e testare fix di vulnerabilità su un volume enorme di codice.
- Impiego di oltre 20.000 ingegneri di IBM e Red Hat dedicati al progetto.
- Obiettivo: identificare e correggere vulnerabilità a scala industriale, sviluppando patch e “backportandole” alle versioni specifiche usate in produzione dalle aziende, senza forzare aggiornamenti distruttivi.
- Il servizio sarà offerto tramite abbonamenti commerciali (probabilmente tarati sul numero di pacchetti open source utilizzati), con un “bollino” di sicurezza del clearinghouse.
IBM dichiara di usare già più di 62.000 pacchetti open source e di avere competenza approfondita su oltre 10.000 di essi (Linux, Kubernetes, Kafka, Ansible, Java, ecc.).
Contesto e motivazioni
L’iniziativa nasce in un momento in cui l’AI sta accelerando enormemente la scoperta di vulnerabilità (sia da parte di attaccanti sia di difensori). Il CEO di IBM, Arvind Krishna, ha indicato come fattore scatenante importante il modello Mythos di Anthropic, capace di individuare migliaia di vulnerabilità gravi nel software open source in poche settimane.
Project Lightwell vuole estendere l’approccio di sicurezza di Red Hat (tradizionalmente concentrato sui propri prodotti) a un ecosistema open source più ampio, inclusi framework AI, librerie e componenti usati dalle grandi imprese.
Early adopter e sviluppi successivi
Tra i primi utenti ci sono grandi istituzioni finanziarie: Bank of America, JPMorgan Chase, Goldman Sachs, Citi, Morgan Stanley, Visa, Mastercard, Wells Fargo e altre.
Nei mesi successivi (giugno 2026) il progetto è stato ampliato con collaborazioni:
- Palo Alto Networks → integrazione di “virtual patching” a livello di rete + remediation del codice.
- Deloitte → supporto per l’integrazione nelle supply chain regolamentate.
Non si tratta di un finanziamento diretto ai maintainer upstream (non paga gli sviluppatori open source indipendenti), ma di un modello commerciale in cui IBM/Red Hat usano AI + ingegneri per rendere più sicuro il codice open source usato dalle imprese, fornendo fix testati e validati.
È uno dei più grandi investimenti privati mai annunciati sulla sicurezza del software libero/open source, pensato per rispondere ai rischi della supply chain nell’era dell’AI.