Problema de velocidad con el parcheo clásico

El código abierto se ha convertido en un elemento imprescindible en el mundo empresarial; al fin y al cabo, el 98 % de los códigos base comerciales contienen ya software de código abierto. En definitiva, casi ninguna aplicación moderna puede prescindir del código abierto: ¿por qué iban las empresas a desarrollar todo desde cero por sí mismas si existen soluciones fiables de las que se ocupa intensamente una comunidad muy activa? SAP también se puede ampliar fácilmente con ayuda del código abierto; la base para ello la proporciona SAP BTP, en la que la propia SAP también apuesta por el código abierto en muchos aspectos.

Sin embargo, lo que hasta ahora había incrementado enormemente la velocidad de innovación de las empresas se está convirtiendo ahora en un enorme reto de seguridad, ya que los modelos avanzados de IA son increíblemente eficaces a la hora de detectar vulnerabilidades en el software. Por ejemplo, con la versión preliminar de Claude Mythos, Anthropic analizó en primavera más de 1.000 proyectos de código abierto en los que se basan gran parte de Internet y muchas infraestructuras empresariales. En el proceso se descubrieron miles de vulnerabilidades a las que los expertos en seguridad calificaron posteriormente como de gravedad „alta“ o „crítica“.

La carrera entre el ser humano y la IA

Esto supone el inicio de una carrera para las empresas que, por sí solas, casi no pueden ganar. Y es que, si la IA detecta más vulnerabilidades de las que los seres humanos podrían detectar jamás, y además en un tiempo cada vez más corto, sus procesos establecidos de aplicación de parches y actualizaciones se colapsan. Simplemente ya no dan abasto para evaluar en qué aplicaciones hay componentes vulnerables y qué sistemas se ven afectados, y carecen del tiempo necesario para probar a fondo todos los parches disponibles y las nuevas versiones, adaptarlos si es necesario e instalarlos. La montaña de actualizaciones es cada vez mayor, al igual que el riesgo de que los ciberdelincuentes aprovechen alguna de las vulnerabilidades que no se han subsanado.

La IA también ofrece una solución, ya que puede analizar el código y la información sobre vulnerabilidades y proponer medidas correctivas adecuadas para reducir los tiempos de respuesta. Es precisamente aquí donde entran en juego IBM y Red Hat con Lightwell, una iniciativa destinada a proteger las complejas cadenas de suministro de software de código abierto, que se basa en un motor de corrección asistido por IA y en la experiencia de más de 20 000 técnicos. En el marco de Lightwell, se identifican vulnerabilidades y dependencias, se desarrollan actualizaciones de seguridad y se proporcionan paquetes de actualización listos para su implementación en producción. No son necesarias actualizaciones disruptivas ni cambios de gran envergadura en los sistemas de producción, ya que las correcciones y los parches desarrollados, siguiendo el modelo „Upstream Always“, siempre se retroportan a versiones anteriores, de modo que las empresas pueden seguir utilizando sus versiones de software actuales y no tienen que cambiar a nuevas versiones principales.

Lightwell cuenta, en su lanzamiento, con un catálogo de más de 6.500 componentes firmados digitalmente y certificados, que se amplía constantemente y que, además del código fuente, incluye documentación de cumplimiento normativo, como las SBOM. Aunque inicialmente está destinado únicamente al sector financiero, también se están desarrollando actualizaciones específicas para otros componentes; se prevé que le sigan otros sectores, como la sanidad, las telecomunicaciones y la administración pública. En definitiva, la IA no solo agrava la situación de amenaza, sino que también ayuda a reducir la superficie de ataque. Lo que hasta ahora requería cientos o miles de comprobaciones, ajustes y decisiones manuales, ahora puede realizarse en gran parte de forma automática. Para que nada salga mal, los procesos deben configurarse con esmero. Y gracias a Lightwell, no es necesario que cada empresa lo haga por su cuenta, sino que puede contar con el apoyo de socios de SAP y proveedores independientes de software (ISV) que se unen a Lightwell y comprueban si las aplicaciones desarrolladas por la propia empresa o por integradores se basan en componentes de código abierto, identifican los puntos débiles y los subsanan.

La seguridad, al igual que el código abierto, es y seguirá siendo un trabajo en equipo, en el que los resultados son mejores cuando todos los implicados colaboran entre sí.

Al directorio de socios: