IBMが50億ドルを投じてオープンソースの脆弱性対策へ！2万人のエンジニアを動員、6大金融巨頭がすでに導入済み

IBMは傘下のオープンソース子会社であるRed Hatと連携し、AI技術を用いてオープンソースソフトウェアの脆弱性を大規模にスキャンする「Project Lightwell」を正式に立ち上げました。50億ドルを投資し、2万人のフルタイムエンジニアを動員します。Bank of America、JPMorgan Chase、Visa、Mastercard、Wells Fargo、Morgan Stanleyが初期パートナーとしてプラットフォームに接続しており、保護範囲はRed Hatの自社環境から、AIフレームワーク、コードベース、Apache Kafkaなどの分散型インフラへと大幅に拡大されます。動区動趨（BlockTempo）によるまとめ。（前回の経緯：月間ダウンロード数約1億回のAIパッケージ「LiteLLM」でサプライチェーン攻撃が発生、暗号資産ウォレットやSSHキーが流出）（背景補足：AIセキュリティスタートアップのDepthfirstがAnthropicのMythosを抑え、NGINXに18年間潜伏していた脆弱性を発見）要点まとめ - IBMとRed Hatが「Project Lightwell」を立ち上げ。50億ドルを投資し、2万人のエンジニアがAI技術を用いてオープンソースソフトウェアの脆弱性を特定・修正する - Bank of America、JPMorgan Chase、Visa、Mastercard、Wells Fargo、Morgan Stanleyが初期パートナーとしてプラットフォームに接続 - 保護範囲をRed Hatの自社システムから、AIフレームワーク、コードベース、Apache Kafkaなどの広範なオープンソース技術エコシステムへ拡大近年、オープンソースソフトウェアのサプライチェーン攻撃の頻度と破壊力は加速しています。3月には月間ダウンロード数が約1億回に達するAIパッケージ「LiteLLM」に悪意のあるコードが埋め込まれ、暗号資産ウォレットの秘密鍵やSSHキーが盗まれました。5月にはOpenAIの従業員のPCも「TanStack」のnpmサプライチェーン攻撃の影響を受けました。IBMはこのタイミングで動き出し、傘下のRed Hatのセキュリティ能力を「自社システム」からオープンソースエコシステム全体へと拡張します。 Project Lightwellの規模は大きく、50億ドルの投資と2万人のフルタイムエンジニアを擁します。これらのエンジニアは全員IBMの既存社員であり、外部委託や兼務、名目上の顧問ではなく、脆弱性の特定と修正に100%専念します。 Red Hatのさらなる拡大これまでRed Hatのセキュリティツールや脆弱性スキャンは、RHEL（Red Hat Enterprise Linux）やOpenShiftなど、自社のシステム環境に限定されていました。 Project Lightwellはこの境界を打ち破りました。保護範囲を大幅に外部へ拡大し、AIフレームワーク（TensorFlow、PyTorchなど）、オープンソースコードベース、そして分散型データストリーミングプラットフォームであるApache Kafkaを含む、より広範な技術エコシステムをカバーします。Kafkaは世界の金融業界で広く利用されており、JPMorgan Chaseは一時期、Kafkaの経験を求める求人を500件以上出していました。これはリアルタイム取引処理、リスク管理、規制報告の基盤となる神経系です。リアルタイム決済システムの基盤がKafkaで動いており、そのKafkaの依存関係に悪意のあるコードが埋め込まれた場合、ファイアウォールでは防げません。IBMが狙っているのはまさにこの層です。 6大金融巨頭が先行導入 Project Lightwellの発表時には、6社の初期パートナーが名を連ねました。Bank of America、JPMorgan Chase、Visa、Mastercard、Wells Fargo、Morgan Stanleyです。このリストは米国の金融業界の中核を網羅しており、2大商業銀行、2大カードブランド、資産管理のトップ企業、大手リテール銀行が含まれています。これらの共通点は、KafkaからKubernetes、各種AI推論フレームワークに至るまで、オープンソースインフラに深く依存しており、各層がサプライチェーン攻撃の入り口になり得るという点です。 IBMは今年5月にAIセキュリティ製品ポートフォリオの拡充を発表したばかりであり、Project Glasswingの名の下でAnthropicとの協力を深めています。Project Lightwellはその戦略の次なる一手です。金融業界にとって、この防衛線は決して早すぎるものではありません。今年に入ってからの5ヶ月間だけでも、オープンソースのサプライチェーン攻撃は多くのテクノロジー企業や開発者に甚大な被害をもたらしています。よくある質問 Project Lightwellの2万人のエンジニアは新規採用ですか？いいえ。この2万人のフルタイムエンジニアは全員IBMの既存社員であり、オープンソースソフトウェアの脆弱性特定と修正作業に100%専念しており、外部採用は含みません。 Project LightwellとRed Hatの従来のセキュリティサービスとの違いは何ですか？従来のRed Hatのセキュリティツールは主に自社