El proyecto Project Lightwell, valorado en 5.000 millones de dólares, combina sistemas de IA con 20.000 ingenieros para ofrecer correcciones validadas directamente en las cadenas de suministro de software empresarial sin necesidad de actualizaciones disruptivas.
90% de las compañías del Fortune 500 lo tiene en sus cadenas de suministro de software. Y también es conocido por estar plagado de vulnerabilidades, de tal manera que identificar y parchear esos fallos puede ser una batalla interminable para los equipos de seguridad.
Project Lightwell, la nueva iniciativa de IBM y Red Hat, puede ayudar a acelerar este proceso.
El proyecto, que fue anunciado ayer, comprometerá 5.000 millones de dólares y 20.000 ingenieros de IBM y Red Hat para construir un nuevo “centro de compensación empresarial”. Su destino será acelerar el descubrimiento y la remediación de vulnerabilidades en el software de código abierto. Ambas compañías aseguran que este centro actuará como una “capa de coordinación de seguridad” impulsada por IA. También proporcionará a las empresas la capacidad de integrar parches directamente en sus cadenas de suministro de software existentes.
Aún en fase de diseño con un grupo de 11 socios del sector financiero, Project Lightwell se ofrecerá finalmente como un servicio de suscripción comercial.
Cerrar la brecha de remediación
Los problemas de seguridad del código abierto están bien documentados: casi 50.000 vulnerabilidades y exposiciones comunes (CVE) se publicaron en 2025. El Project Glasswing de Anthropic, impulsado por su modelo Mythos Preview, encontró cerca de 3.900 vulnerabilidades previamente no descubiertas de alta o crítica gravedad en software de código abierto poco después de su lanzamiento.
Se considera a IBM uno de los ecosistemas comerciales de código abierto más amplios. Utiliza más de 62.000 paquetes y opera en Linux, Kubernetes, Kafka, Terraform, Java y otras plataformas. Además, proporciona gestión del ciclo de vida, validación y parcheo para elementos dentro de esos entornos.
La compañía afirma que Project Lightwell aplicará ahora esos mismos principios de ingeniería a marcos de IA más amplios, bibliotecas independientes, toolchains de lenguaje y plataformas de streaming de datos. Con esto quiere ofrecer correcciones validadas al código de código abierto ya en uso en entornos empresariales; lo que puede facilitar la remediación sin interrumpir la estabilidad, la certificación o el cumplimiento normativo.
No se requieren actualizaciones ni acceso al código fuente; Project Lightwell aplicará retroportabilidad (backporting) de las correcciones a versiones exactas de dependencias que ya han sido probadas e implementadas. Opera sobre manifiestos de configuración fundamentales como pom.xml. De esta manera, el código permanece dentro de entornos empresariales controlados cuando se despliegan los artefactos parcheados. El enfoque inicial será Java/Maven, pero el proyecto se expandirá posteriormente a PyPI, npm, Go y otros.
Las empresas tendrán la capacidad de compartir vulnerabilidades sensibles bajo embargo a través de un “modelo de intermediario seguro” y recibir parches validados que abarcan tanto plataformas de Red Hat como código independiente de la comunidad. También podrán desplegar correcciones a lo largo de cadenas de dependencias; reportar y abordar problemas en entornos de producción activos; y compartir correcciones aguas arriba para que la comunidad de código abierto en general pueda incorporarlas.
Badani ha reconocido que “queremos asegurarnos de que cualquier corrección que proporcionemos a las empresas a través del centro de compensación también encuentre su camino de vuelta a la comunidad de código abierto que desarrolló [el código]”. Por ejemplo, si se parchea un fragmento de código en Python, la corrección debería devolverse rápidamente a la comunidad Python. Con Project Lightwell, ese proceso puede lograrse mediante un “mapa seguro”.
Gracias al uso de IA avanzada y el trabajo con los principales contribuidores de código abierto, los ingenieros de IBM y Red Hat se centrarán en conectar los entornos upstream y downstream para que las correcciones estén preparadas para la empresa. También desarrollarán parches y realizarán revisiones y clasificación de vulnerabilidades de “alto volumen”, así como refuerzo de dependencias.
Las plantillas actuales de IBM y Red Hat proveerá una red de 20.000 ingenieros, y las compañías ampliarán estos equipos según sea necesario, tal y como ha explicado Badani. Las empresas aprovecharán los modelos fundacionales provenientes de laboratorios líderes, así como sus propias herramientas y frameworks de IA desarrollados internamente. Los 5.000 millones de dólares se utilizarán para dotar a los equipos de herramientas de IA y construir la infraestructura operativa interna.
Entre los primeros adoptantes de Project Lightwell se encuentran Bank of America, BNY, Citi, Goldman Sachs, JPMorgan Chase, Mastercard, Morgan Stanley, Royal Bank of Canada, State Street, Visa y Wells Fargo. Tras el periodo inicial de diseño, IBM y Red Hat incorporarán progresivamente más clientes al proyecto mediante un modelo de suscripción.
¿Una llamada a la acción?
David Shipley, de Beauceron Security, ha calificado de “desesperadamente necesaria” este tipo de iniciativas si las empresas quieren salvar el código abierto.
Es más, ha reconocido que la época en la que billones de dólares en valor dependían de voluntarios “terminó de forma abrupta” con Mythos, y la factura del código abierto finalmente ha llegado. Las empresas tendrán que pagar o lo perderán.
Según Shipley , “si no encontramos una forma de invertir en el código abierto, lo que cerraría un problema de equidad largamente existente, la alternativa es que cada uno construya su propio código a medida usando IA”. Esto sería “enormemente ineficiente” desde el punto de vista computacional y medioambiental.
“Espero que esto impulse a otros a actuar”, ha añadido.
Mantener a los humanos en el proceso en una batalla continua
Badani ha subrayado que, aunque la IA es excelente para descubrir problemas de seguridad en código abierto, el proceso de parcheo puede seguir siendo complejo. Las correcciones deben enviarse upstream, distribuirse a la comunidad de código abierto y luego volver a fluir hacia clientes y usuarios.
Para este especialista, “encontrar el error es una cosa, y la otra son todos los pasos necesarios para remediarlo realmente. Ese tiempo adicional es la brecha que estamos intentando ayudar a cerrar”.
A juicio de Badani, “esto no va a detenerse pronto”, para añadir: “Incluso si conseguimos resolver con éxito el conjunto inicial de desafíos que nos llegan, esto será algo que las empresas van a necesitar de forma continua o recurrente”.
Si bien el discurso se ha centrado en sustituir a los ingenieros humanos por IA, Project Lightwell apuesta por lo contrario. Por eso, la conclusión de Badani es que “podemos abordar [el problema] con una combinación de herramientas de IA y conocimiento y experiencia humanos. La combinación de ambos ofrece un mejor resultado que usar sólo uno u otro”.
Fuente: Computerworld