IBMのLightwell、Javaライブラリで400件超の脆弱性を発見

IBMのLightwellは、Linux FoundationのAkritesやChainguardのAthenaなど、クリアリングハウスの広がりの一環だ。AIによって脆弱性の発見と悪用が容易になったことを受けて登場した。米政府も同様のプログラムを開始しており、ソフトウェアサプライチェーンのリスクに対処するよう企業に求めてきた10年間が反映されている。

Lightwellが分析したJavaエコシステムは何年も危険な状態にある。Datadogの2月のレポートでは、Javaサービスの10件中約6件に悪用可能な脆弱性が少なくとも1件含まれていること、Javaベースのアプリケーションが依存するサードパーティパッケージが最新のメジャーバージョンから中央値でほぼ500日遅れていることが判明した。

IBMにとっての賭けは、ダウンタイムなしで安全にパッチを導入するという約束が企業を納得させるかどうかにかかっている。稼働中の本番アプリへの修正のバックポートが説明通りに機能すれば、Gunnar Helleksonが語ったセキュリティと稼働時間のトレードオフを緩和できるかもしれない。だが結果は顧客の採用と、修正が本番環境で持ちこたえるかどうかにかかっている。