IBM 與 Red Hat 拓展 Lightwell 服務方案，為 AI 時代的開源技術建構可信任基礎架構

IBM 與 Red Hat 近日宣布正式推出商業版 Lightwell，透過 Lightwell Network 與 Lightwell Clearinghouse Premier 兩款產品，提供大規模的自動化漏洞修補服務。企業能透過已全面推出的 Lightwell Network 取得啟動目錄，其涵蓋超過 6,500 個經修補、具數位簽章且通過認證的應用層相依性（application-layer dependencies）元件，涵蓋 Java 與 Python 等主要生態系。Lightwell Clearinghouse Premier 目前處於有限可用性階段，作為企業可信任的中介平台，提供安全修補程式禁令（secured patch embargoes）與垂直產業威脅協調服務。

本次發布奠基於 IBM 與 Red Hat 於 2026 年 5 月宣布投入 50 億美元深耕開源安全性的承諾，並由全球超過 2 萬名工程師提供技術支援，負責監督、持續擴展 Lightwell 由 AI 驅動的先進修補功能。Lightwell 的推出，將建立在數十年信任基礎上的模式擴展至更大規模；在此模式下，Red Hat 已保護數千家客戶的關鍵系統，累積數百萬次的核心產品下載、無數的程式修補、錯誤修復與社群貢獻，這也反映出與眾多金融服務頂尖企業的設計夥伴之間的快速進展與積極合作。上述企業視 Lightwell 為解決此產業問題的關鍵，並肯定 Red Hat 與 IBM 具備提供企業所需的開源工程專業知識與規模的獨特優勢。現在，Lightwell 將此經驗證的企業級防護延伸至企業的開源軟體產品組合中。

為了提供可信任基礎架構，Lightwell 運用生成式 AI 驅動的修補引擎（目前已上線且大規模運作中）所具備的高傳輸量能力。此 AI 驅動的先進自動化管道結合頂尖開源 AI 模型以及人類工程專業知識，用以識別、驗證並修補現代軟體架構深處關鍵相依性中的漏洞。

Lightwell 藉由保護企業在生產環境中執行的特定軟體套件，消除快速創新與企業合規性之間的阻礙，同時為未來的應用程式建立穩定的平台。為打破相依性修補的僵局，Lightwell 利用自動化技術將關鍵修復直接向後移植（backport）至特定的長期生產軟體版本，協助解決耗時的回歸測試（regression testing）與破壞性變更（breaking changes），這兩種阻礙經常癱瘓團隊，使其被迫採用上游大型升級版本。在 AI 驅動的修補引擎支援下，Red Hat 與 IBM 預期 Lightwell 的修補套件目錄將從數千個迅速擴展至數百萬個。

Red Hat 與 IBM 透過兩款產品提供以下功能：

• Lightwell Network：現已全面推出，可立即存取活躍且持續增加的函式庫，涵蓋最新到既有版本的函式庫及高價值的修補內容。會員將持續獲得具數位簽章的二進位檔案、原始碼以及全面的合規性工件，包括完整的軟體物料清單（SBOM），並直接導入現有流程同時避免產生程式碼飄移（code drift）。
• Lightwell Clearinghouse Premier：目前處於有限可用性的商業導入階段，作為可信中介平台，此層級旨在提供深入的產業合作、進階的垂直產業威脅協調與安全修補程式禁令。參與企業可在保密期間內提交漏洞並請求特定版本的修復。目前平台初期發布僅限於金融服務業，Red Hat 與 IBM 計畫將 Lightwell Clearinghouse Premier 擴展至政府、醫療保健與電信等其他關鍵基礎架構垂直領域。為在特定領域運作中繼站網路，需要高度專業的法律、地理與揭露框架以符合條件，因此商業導入資格目前仍僅限於符合條件的參與企業。

Lightwell 遵循 Red Hat 經驗證的「上游優先（upstream-always）」運作模式，積極將安全性修復提交回原始開源社群以供審查與採納。該模式確保商業保護與社群生態健康能持續相輔相成，在有效防止專案走向碎片化的同時，亦能免除生產環境遭受零日攻擊（zero days）的風險。

Red Hat 總裁暨執行長 Matt Hicks 表示：「Lightwell 的推出代表我們在保護所有企業級軟體安全的根本結構性轉變。透過結合自動化修補與我們深厚的工程傳統知識，我們致力於提供可信任的基礎架構，企業能以可靠、永續且符合 AI 創新步伐的方式使用開源技術。」 

IBM 軟體資深副總裁暨商務長 Rob Thomas 表示：「IBM 與 Red Hat 為企業提供經過認證的修復程式，這些程式由不斷增長的技術與交付合作夥伴網路所支援，可以在無需重新配置工具或中斷運作的情況下，直接應用至運作中的系統中。要實現這一目標，需要大多數企業目前尚未具備的大規模，以及一個日以繼夜運作的世界級工程師團隊與 AI 系統，以保護全球企業賴以運行的開源軟體。」

ARC（由美國大型銀行與金融機構組成的「金融產業風險情報與防禦合作聯盟」）總裁暨執行長 Scott DePasquale 指出：「沒有任何一個機構能夠獨自應對開源漏洞日益增長的規模與複雜性。金融業早已展現應對共同安全挑戰時的合作價值，而促進協同修補的舉措具有強化整體產業韌性的潛力。」

IDC Financial Insights 計畫副總裁 Jerry Silva 表示：「金融服務等受到高度監管的產業面臨著最高的合規性成本，這意味著他們極度重視安全性，特別是在使用開源軟體方面。Lightwell 的合作匯聚 Red Hat 與 IBM 的力量，共同識別、分流與修補弱點將強化這些企業在全球的安全性與韌性，同時確保其所提供的服務具備能作為指標的信任度。」

在開源程式碼佔企業程式碼庫高達 90%，加上在 2025 年^[1] 就創造 9.8 兆次下載的情況下，龐大的數量與成本僅 50 美元的 AI 生成漏洞攻擊^[2] 已打破傳統修補程式的管理機制，程式碼庫平均有 581 個弱點^[3]。Lightwell 旨在透過評估應用程式上下文與相依性互動，將經驗證的修補直接交付至使用中的工作流程中，以減少未識別風險並消除執行瓶頸。

保護開源軟體供應鏈需要一個開放、多元且涵蓋 AI 模型、開發工具與企業基礎架構的生態系。Lightwell 藉由強健且不斷成長的技術與部署合作夥伴網路所延伸，透過與這些產業領導者合作，Lightwell 得以實現真正的協調防禦：在修補程式準備就緒時，網路規則、雲端環境與部署流程能橫跨整體企業架構同步更新。

• 技術供應商：包括 Amazon Web Services（AWS）、AMD、F5、GitLab、Intel、JFrog、Microsoft、NVIDIA、Palo Alto Networks 與 ServiceNow 在內的產業頂尖業者正與 IBM 及 Red Hat 共同參與 Lightwell 合作。這個持續擴展的生態系確保 Lightwell 的安全性修復能延伸至各種不同的環境，在不造成中斷的情況下保護廣泛的現有工具、應用程式與服務。
• 部署與策略服務：為了加速採用，客戶可以透過與 IBM Consulting、Red Hat Consulting、Accenture、Atos、Cognizant、Deloitte、EY 網路與風險諮詢團隊、HCLTech、Infosys、Kyndryl、LTM、NTT DATA、Tata Consultancy Services（TCS）、 Tech Mahindra 合作，使用世界級的系統整合與策略部署服務。上述機構協助企業客戶對應 SBOM、管理版本對應、導入 Lightwell 登錄檔並評估流程，以確保做好應對 AI 速度等級漏洞的準備。

如欲了解更多關於 Lightwell 的資訊，請造訪 https://www.ibm.com/products/lightwell 與
https://www.redhat.com/zh-cn/lightwell

關於 IBM 與 Red Hat 未來方向與意向的聲明，可能在未經通知的情況下變更或撤回，僅代表目標與目的。

¹https://www.sonatype.com/state-of-the-software-supply-chain/introduction 

²https://www.anthropic.com/research/mythos-preview 

³https://www.blackduck.com/resources/analyst-reports/open-source-security-risk-analysis.html