پروژه Lightwell، یک ابتکار امنیتی متن‌باز (Open-source) که توسط IBM و Red Hat راه‌اندازی شده است، موفق به شناسایی بیش از ۴۰۰ آسیب‌پذیری پیش‌تر ناشناخته در کتابخانه‌های پرکاربرد Java شده است. در همین راستا، این دو شرکت از کاربران دعوت کرده‌اند تا وابستگی‌های کد (Code dependencies) خود را برای بررسی به سرویس جدیدی به نام Lightwell Clearinghouse ارسال کنند.
شناسایی باگ‌های بحرانی و نقش هوش مصنوعی
یکی از موارد شناسایی شده توسط این پروژه، یک آسیب‌پذیری بحرانی از نوع Sandbox Bypass در موتور قالب‌ساز Thymeleaf با امتیاز CVSS 9.1 بود که در ماه آوریل کشف شد.
گانار هلکسون (Gunnar Hellekson)، نایب رئیس و مدیر کل Lightwell، در این رابطه اظهار داشت که عامل تهدید (Threat actor)ها با استفاده از ایجنت‌های هوش مصنوعی (AI agents)، چشم‌انداز تهدیدات را به سرعت تغییر داده‌اند و اکنون وابستگی‌های قدیمی را با سرعت ماشین اکسپلویت می‌کنند. او تأکید کرد که هدف Lightwell تنها شناسایی باگ‌ها نیست، بلکه اعمال اصلاحات (Backporting fixes) در اپلیکیشن‌های در حال اجرا است تا سازمان‌ها مجبور نباشند بین امنیت و پایداری سیستم (Uptime) یکی را انتخاب کنند.
سرمایه‌گذاری گسترده برای امنیت زنجیره تامین
IBM و Red Hat پیش از این اعلام کردند که ۲۰,۰۰۰ مهندس و بودجه‌ای بالغ بر ۵ میلیارد دلار را به پروژه Lightwell اختصاص می‌دهند. این پروژه با ترکیب تخصص مهندسی متن‌باز، روابط جامعه‌محور Red Hat و گردش‌های کاری مهندسی مبتنی بر هوش مصنوعی، طراحی شده است تا علاوه بر شناسایی مشکلات امنیتی، نرم‌افزارهای اصلاحی (Remediation software) برای رفع آن‌ها ارائه دهد.
در کنار این تلاش‌ها، شرکت Azul نیز ارزیابی رایگان ریسک آسیب‌پذیری برای ماشین‌های مجازی جاوا (JVM) را معرفی کرده است. این شرکت مدعی است که می‌تواند نقاط کوری (Blind spots) را که ابزارهای اکسپلویت خودکار مبتنی بر هوش مصنوعی، مانند Mythos، هدف قرار می‌دهند، پوشش دهد.
