IBM и Red Hat нашли и закрыли свыше 400 уязвимостей в Java-библиотеках
Lightwell, сервис IBM и Red Hat, ищет и чинит уязвимости в открытом коде, а через его Clearinghouse любой корпоративный клиент теперь может заказать внеочередную проверку своих библиотек.
IBM и принадлежащая ей Red Hat1 сообщили, что их сервис Lightwell нашёл и исправил более 400 ранее неизвестных уязвимостей в популярных библиотеках для языка Java.
Почему это важно: из таких открытых библиотек — готовых блоков кода — собраны многие корпоративные программы. Часть исправлений, по словам компаний, передают в сами открытые проекты, так что их получат не только платные клиенты Lightwell.
Предыстория: в мае IBM и Red Hat обязались вложить 5 млрд долларов в защиту открытого кода, а в июле начали продавать Lightwell. Тогда в общий доступ вышла подписка Lightwell Network с каталогом из более чем 6 500 исправленных библиотек. Услугу Clearinghouse — внеочередную проверку библиотек по заявке клиента — открыли только финансовым компаниям.
Как это работает: инженеры Red Hat и IBM ищут и чинят уязвимости с помощью ИИ-инструментов, а Red Hat собирает исправленные версии на своей инфраструктуре:
- Исправление готовят под ту версию библиотеки, которая уже работает у клиента, без перехода на новую.
- Готовые версии приходят через защищённые хранилища, подключённые к привычным процессам компании.
- Сканеры безопасности, хранилища кода и порядок тестирования клиенту менять не нужно.
Детали: в общий доступ вышел Lightwell Clearinghouse. Клиент присылает конкретные открытые библиотеки, которыми пользуется, а IBM и Red Hat вне очереди проверяют их и готовят исправления, в том числе для старых версий. Найденные так уязвимости публикуют не сразу: участников Clearinghouse защищает эмбарго на раскрытие сведений об уязвимости2.
Общая картина: по словам компаний, ИИ-агенты научились складывать серьёзную атаку из нескольких мелких слабостей в коде. В конце сентября команда Anthropic показала, что открытая китайская модель GLM-5.3 сама пишет рабочие программы для взлома почти так же, как Claude Mythos Preview. Эту собственную модель Anthropic из-за её способностей к взлому выдала лишь узкому кругу компаний и разработчиков открытого кода — чтобы те успели укрепить защиту.
Но: какие именно библиотеки затронуты и насколько опасны уязвимости, компании не назвали.
«Им всё равно, что коду десять лет или что он считается стабильным: чтобы выстроить атаку, хватит одной маленькой трещины», — говорит об ИИ-агентах Гуннар Хеллексон, который руководит Lightwell в Red Hat.