El software de código abierto (OSS) es el esqueleto digital de la empresa moderna. Más del 90% de las compañías de la lista Fortune 500 dependen de él, según un estudio de Worldmetric citado por IBM. Sin embargo, su misma naturaleza abierta lo convierte en un blanco atractivo para ciberataques, especialmente ahora que la inteligencia artificial acelera el tiempo entre el descubrimiento de una vulnerabilidad y su explotación. Para hacer frente a esta amenaza, tres gigantes tecnológicos —IBM, su filial Red Hat y Palo Alto Networks— han decidido unir fuerzas en una iniciativa que promete cambiar las reglas del juego en la seguridad del código abierto.

Project Lightwell: el centro de confianza empresarial

Anunciado en mayo de 2024, Project Lightwell es el proyecto estrella de IBM y Red Hat, con una inversión de 5.000 millones de dólares. Su objetivo es crear lo que IBM denomina “un centro de confianza empresarial combinado con una fuerza global de ingenieros para identificar y solucionar vulnerabilidades a gran escala”. Este centro actuará como una capa de coordinación de seguridad, utilizando capacidades avanzadas de IA para validar y probar soluciones en un volumen sin precedentes de código abierto. Las soluciones se ofrecerán mediante suscripciones comerciales, permitiendo a las empresas integrar parches seguros directamente en sus cadenas de suministro de software, con validación de nivel empresarial y gestión del ciclo de vida.

La alianza con Palo Alto Networks añade una pieza clave: la tecnología de parcheo virtual basada en red de Prisma, su plataforma de seguridad en la nube. Esta combinación permite desplegar protecciones a nivel de red el mismo día en que se descubre una vulnerabilidad, antes incluso de que exista un parche oficial. Como señala Nikesh Arora, CEO de Palo Alto Networks: “La IA ha comprimido el tiempo entre el descubrimiento de una vulnerabilidad y su explotación de semanas a minutos. El parcheo tradicional no puede seguir el ritmo”.

Elementos clave de la iniciativa conjunta

La colaboración entre IBM, Red Hat y Palo Alto Networks se estructura en torno a tres pilares fundamentales:

• Cobertura de vulnerabilidades: Protección en software de código abierto, aplicaciones comerciales, entornos de tecnología operativa y dispositivos conectados.
• Cobertura preventiva: Las organizaciones pueden recibir protecciones de parcheo virtual antes de que los parches oficiales estén disponibles, reduciendo la exposición mientras se lleva a cabo la remediación.
• Protección rápida: Cuando se descubre una nueva vulnerabilidad, las protecciones a nivel de red pueden desplegarse el mismo día, con el objetivo a largo plazo de reducir el tiempo desde el descubrimiento validado hasta la protección.

Un ecosistema de confianza: bancos y más allá

Project Lightwell ya cuenta con adoptantes tempranos de primer nivel: Bank of America, BNY, Citi, Goldman Sachs, JPMorgan Chase, Mastercard, Morgan Stanley, RBC, State Street, Visa y Wells Fargo. Estas instituciones no solo validan la propuesta, sino que también aportan telemetría anonimizada sobre intentos de explotación en el mundo real, lo que permite acelerar el desarrollo de protecciones. Además, las compañías planean establecer procesos seguros para compartir información sobre vulnerabilidades entre proveedores de software, proveedores tecnológicos y equipos de seguridad.

Esta colaboración no es la primera entre IBM y Palo Alto Networks. Ambas empresas mantienen una relación de larga duración integrando seguridad y redes de clase empresarial. Recientemente, lanzaron Quantum-Safe Readiness, un servicio para identificar exposición criptográfica y riesgos relacionados con la computación cuántica. También, a principios de 2024, combinaron esfuerzos para ayudar a las empresas a descubrir, evaluar y priorizar riesgos de seguridad y cumplimiento en implementaciones de IA en la nube.

Implicaciones para empresas y profesionales IT

Para los equipos de seguridad y los administradores de sistemas, esta alianza representa un cambio de paradigma. Ya no se trata solo de parchear, sino de anticiparse. La combinación de parcheo virtual con inteligencia sobre vulnerabilidades permite una defensa proactiva, algo esencial cuando los atacantes utilizan IA para automatizar exploits. Como ya vimos en el artículo sobre Godot y los agentes de IA, la calidad del software y la mentoría son claves, pero aquí se añade una capa de automatización defensiva.

Para las empresas que dependen del código abierto, esta iniciativa reduce el riesgo de cero-días y acelera la remediación. Además, al integrarse con cadenas de suministro de software existentes, facilita la adopción sin fricciones. En un contexto donde SAP apuesta todo por la IA y Microsoft invierte 2.500 millones para corregir errores, la seguridad del código abierto se convierte en un pilar estratégico.

El futuro de la seguridad colaborativa

La alianza IBM-Red Hat-Palo Alto Networks no es solo una respuesta a las amenazas actuales, sino una plataforma para el futuro. Al compartir inteligencia y automatizar protecciones, se crea un ecosistema donde los defensores recuperan la ventaja. Como dice Arora, “estamos devolviendo la ventaja a los defensores”. Para los profesionales IT, esto significa menos noches en vela parcheando servidores y más tiempo para innovar. Y para las empresas, una reducción tangible del riesgo cibernético en un mundo donde el código abierto es, cada vez más, el corazón de la tecnología.

Fuente original: ComputerWorld. Análisis y adaptación por ForgeNEX.