Lightwell od IBM i Red Hat. AI pomaga łatać stare biblioteki

Czym jest Lightwell i komu ma pomóc

Lightwell odpowiada na lukę między wykryciem błędu a jego usunięciem. Skanery wskazują problem, ale rzadko dostarczają poprawkę pasującą do dokładnej wersji biblioteki działającej w firmie. Aktualizacja do nowej wersji bywa ryzykowna, bo starsza aplikacja może przestać działać. Lightwell przygotowuje więc poprawkę dla wersji już używanej, co nazywa się backportowaniem.

IBM i Red Hat ogłosiły program w maju 2026 roku i przeznaczyły na niego 5 mld USD, czyli ok. 19,7 mld zł. Składa się z dwóch części. Lightwell Network daje dostęp do sprawdzonych poprawek przez zabezpieczone repozytoria. Lightwell Clearinghouse pozwala zgłosić konkretną bibliotekę lub lukę do priorytetowego sprawdzenia. Program zaczął od instytucji finansowych, ale te same biblioteki działają w wielu innych branżach.

Jak wygląda naprawa luki krok po kroku

Ben Breard z Red Hat opisał w rozmowie z IBM Think proces, w którym AI przyspiesza pisanie poprawek, a decyzje pozostają po stronie ludzi. To deklaracja dostawcy, której nie zweryfikowaliśmy niezależnie.

1. Klient zgłasza podejrzenie luki, a Red Hat usuwa z raportu dane pozwalające go zidentyfikować.
2. Inżynierowie sprawdzają, czy zgłoszenie jest prawdziwe, bo automatyczne narzędzia dają też fałszywe alarmy.
3. Narzędzia AI pomagają przygotować poprawkę, a ludzie ją oceniają i w razie potrzeby radzą się specjalistów.
4. Poprawka jest dopasowywana do starszej wersji używanej przez klienta.
5. Red Hat testuje, czy zmiana nie psuje połączeń, na których polegają inne aplikacje.
6. Uczestnicy dostają poprawkę 14 dni wcześniej, a potem trafia ona do opiekunów projektów open source.

Dlaczego wykrywanie luk wyprzedziło ich naprawę

Dane IBM X-Force pokazują skalę problemu. W pierwszych dziewięciu miesiącach 2026 roku zgłoszeń u czterech dostawców było blisko siedem razy więcej niż rok wcześniej, a przyspieszenie zaczęło się w kwietniu. Microsoft zanotował wzrost o ok. 204 proc., Apache o ok. 367 proc., Oracle o ok. 1292 proc., a Google Chrome o ok. 2456 proc.

W osobnej próbie 223 luk przypisanych modelom AI 55,2 proc. miało ocenę wysoką lub krytyczną, a 91 proc. dało się wykorzystać zdalnie. Jest to mała próba, a raport nie wykazał, by te luki były atakowane. Breard przyznaje, że sama praca nad poprawkami ujawnia kolejne luki. Zdarzyło się, że zespół musiał przerwać przygotowanie pakietu poprawek, bo w tym czasie pojawiły się nowe zgłoszenia.

Ograniczenia i niewiadome

Większość danych o Lightwell pochodzi od samych IBM i Red Hat, które sprzedają tę usługę. Firmy nie ujawniły nazw bibliotek ani numerów CVE, czyli identyfikatorów luk, więc liczby 400 nie da się sprawdzić z zewnątrz. Oceny ważności objęły tylko 83 luki, a nie wszystkie naprawione.

Nie ma publicznego cennika ani informacji o warunkach dla klientów z Polski. Strona produktu opisuje roczną subskrypcję i pisze o wariancie Clearinghouse Premier dla wybranych firm z infrastruktury krytycznej. Sama obecność luki w bibliotece nie oznacza też takiego samego ryzyka w każdej aplikacji. Zależy ono od sposobu użycia kodu i od tego, czy napastnik może do niego dotrzeć.

Co mogą zrobić firmy w Polsce

W naszej ocenie wniosek ma zastosowanie także do firm, które nie kupią Lightwell. Banki, ubezpieczyciele i administracja utrzymują aplikacje w Javie przez lata, a to właśnie stare zależności są dziś przeglądane przez modele AI. Warto przygotować się na więcej poprawek w krótszym czasie.

• Spisz biblioteki open source używane w aplikacjach produkcyjnych, razem z dokładnymi wersjami.
• Oznacz systemy dostępne z internetu i naprawiaj je w pierwszej kolejności.
• Ustal, kto odpowiada za starsze aplikacje bez aktywnego zespołu.
• Sprawdź, czy dostawcy oprogramowania deklarują czas reakcji na nowe luki.
• Przeprowadź test wdrożenia poprawki, aby wiedzieć, ile faktycznie trwa ta operacja.