IBM bỏ ra 5 tỷ đô la để khai mở lỗ hổng mã nguồn! Cần tuyển 20.000 kỹ sư tham gia, 6 tập đoàn tài chính lớn đã tham gia

IBM hợp tác với công ty con mã nguồn mở của mình là Red Hat chính thức ra mắt dự án "Project Lightwell", đầu tư 5 tỷ USD và huy động 20.000 kỹ sư toàn thời gian để quét quy mô lớn các lỗ hổng phần mềm mã nguồn mở bằng công nghệ AI tiên tiến. Ngân hàng Mỹ, JPMorgan Chase, Visa, Mastercard, Wells Fargo và Morgan Stanley đã tham gia như các đối tác sớm của nền tảng, phạm vi bảo vệ mở rộng từ môi trường của Red Hat sang các khung AI, kho mã nguồn, và các hạ tầng phân tán như Apache Kafka. Được tổng hợp và báo cáo bởi Động khu vực Động xu hướng.
(Trước đó: Gần 100 triệu lượt tải hàng tháng của bộ công cụ AI LiteLLM bị tấn công chuỗi cung ứng, ví tiền mã hóa, khóa SSH bị xâm phạm toàn diện)
(Bổ sung bối cảnh: Công ty khởi nghiệp an toàn AI Depthfirst đánh bại Anthropic Mythos! Phát hiện lỗ hổng tiềm ẩn 18 năm của NGINX)

Tóm tắt chính

• IBM hợp tác với Red Hat ra mắt Project Lightwell, đầu tư 5 tỷ USD, huy động 20.000 kỹ sư AI để phát hiện và sửa chữa lỗ hổng phần mềm mã nguồn mở
• Ngân hàng Mỹ, JPMorgan Chase, Visa, Mastercard, Wells Fargo, Morgan Stanley đã tham gia như các đối tác sớm của nền tảng
• Phạm vi bảo vệ mở rộng từ hệ thống của Red Hat sang các khung AI, kho mã nguồn và các công nghệ mở rộng như Apache Kafka

Trong năm nay, tần suất và mức độ phá hoại của các cuộc tấn công chuỗi cung ứng phần mềm mã nguồn mở đang gia tăng nhanh chóng. Tháng 3, bộ công cụ AI LiteLLM gần 100 triệu lượt tải hàng tháng bị cấy mã độc, đánh cắp khóa riêng của ví tiền mã hóa và khóa SSH; tháng 5, ngay cả nhân viên của OpenAI cũng bị ảnh hưởng bởi cuộc tấn công chuỗi cung ứng npm của TanStack. IBM đã chọn thời điểm này để hành động, mở rộng khả năng bảo mật của Red Hat từ "hệ thống nội bộ" sang toàn bộ hệ sinh thái mã nguồn mở.

Quy mô của Project Lightwell không nhỏ, gồm 5 tỷ USD đầu tư và 20.000 kỹ sư toàn thời gian. Các kỹ sư này đều là nhân viên hiện tại của IBM, hoàn toàn tập trung vào phát hiện và sửa chữa lỗ hổng, không phải thuê ngoài, không phải làm bán thời gian, không phải cố vấn danh nghĩa.

Red Hat lại mở rộng quy mô

Trước đây, các công cụ bảo mật và quét lỗ hổng của Red Hat chủ yếu giới hạn trong môi trường hệ thống của chính họ, như RHEL (Red Hat Enterprise Linux) và OpenShift.

Project Lightwell phá vỡ giới hạn này. Phạm vi bảo vệ mở rộng đáng kể ra bên ngoài, bao gồm các khung AI (TensorFlow, PyTorch, v.v.), kho mã nguồn mở, và các nền tảng dữ liệu phân tán như Apache Kafka trong hệ sinh thái công nghệ rộng lớn hơn. Kafka được sử dụng phổ biến trong ngành tài chính toàn cầu, JPMorgan Chase từng đăng tuyển hơn 500 vị trí yêu cầu kinh nghiệm Kafka, là hệ thống thần kinh cơ bản cho xử lý giao dịch theo thời gian thực, giám sát rủi ro, và báo cáo quản lý.

Khi hệ thống thanh toán theo thời gian thực của bạn chạy trên Kafka, và một phụ thuộc của Kafka bị cấy mã độc, tường lửa không thể giúp bạn. IBM nhắm vào chính lớp này.

Sáu ông lớn tài chính đầu tiên tham gia

Khi công bố Project Lightwell, đã có sáu đối tác sớm: Ngân hàng Mỹ (Bank of America), JPMorgan Chase, Visa, Mastercard, Wells Fargo và Morgan Stanley.

Danh sách này bao gồm các ngân hàng thương mại lớn nhất của Mỹ, hai tổ chức thẻ lớn, một công ty quản lý tài sản hàng đầu, và một ngân hàng bán lẻ khổng lồ. Điểm chung của họ là phụ thuộc sâu vào hạ tầng mã nguồn mở, từ Kafka đến Kubernetes đến các khung AI suy luận, mỗi lớp đều có thể trở thành điểm tấn công chuỗi cung ứng.

Tháng 5 năm nay, IBM mới công bố mở rộng bộ sản phẩm an toàn AI của mình, và theo tên gọi Project Glasswing để tăng cường hợp tác với Anthropic, Project Lightwell là bước tiếp theo trong chiến lược này.

Đối với ngành tài chính, hàng rào phòng thủ này không quá sớm. Chỉ trong năm tháng đầu năm, các cuộc tấn công chuỗi cung ứng mã nguồn mở đã gây thiệt hại lớn cho nhiều công ty công nghệ và nhà phát triển.

Câu hỏi thường gặp

20.000 kỹ sư của Project Lightwell có phải là tuyển mới không?

Không. Toàn bộ 20.000 kỹ sư toàn thời gian này đều là nhân viên hiện tại của IBM, hoàn toàn tập trung vào phát hiện và sửa chữa lỗ hổng phần mềm mã nguồn mở, không liên quan đến tuyển dụng bên ngoài.

Project Lightwell khác gì so với dịch vụ bảo mật hiện tại của Red Hat?

Trước đây, các công cụ bảo mật của Red Hat chủ yếu giới hạn trong môi trường hệ thống của chính họ (như RHEL, OpenShift), còn Project Lightwell mở rộng phạm vi bảo vệ ra ngoài, bao gồm các khung AI, kho mã nguồn mở, và các nền tảng phân tán như Apache Kafka trong hệ sinh thái mã nguồn mở rộng lớn hơn.