Broadcom souhaite étendre son modèle de logiciel professionnel supporté à une portion bien plus grande de l’écosystème open source. La société a présenté TrueSource, un portefeuille regroupant des milliers de bibliothèques Java, des composants en Python et Node.js, des images de conteneurs Bitnami, ainsi que des moteurs de données tels que PostgreSQL, RabbitMQ, MySQL et Valkey. Au-delà du simple support commercial, Broadcom s’engage à collaborer avec les maintainers des projets originaux, à soumettre les correctifs de sécurité upstream et à apporter expertise et financement aux communautés concernées.

Les points clés de Broadcom TrueSource en 30 secondes

• TrueSource étend la couverture de Broadcom de Spring vers Java, Python, Node.js et les images Bitnami.
• TrueSource Data Services intègre PostgreSQL, RabbitMQ, MySQL et Valkey.
• Broadcom proposera des builds vérifiés et des artefacts sélectionnés adaptés à un environnement d’entreprise.
• Les vulnérabilités seront corrigées grâce à une revue humaine et des contributions upstream.
• La société affirme que l’IA aide à détecter les failles, mais ne remplace en aucun cas le travail des maintainers.

L’initiative intervient à une époque où les entreprises consomment plus de logiciels open source que jamais, tout en exerçant une pression accrue sur les mainteneurs des dépendances. L’intelligence artificielle accélère la détection des vulnérabilités, mais repérer une potentielle faille n’est que le début d’un processus pouvant durer plusieurs jours d’analyse, de coordination et de développement.

TrueSource vise à transformer cette nécessité en un service pour l’entreprise : des composants dont la provenance et la build peuvent être vérifiées, accompagnés d’un support et d’une feuille de route claire en cas de vulnérabilité.

La démarche aborde aussi une problématique vieille comme le code open source : une entreprise peut consommer gratuitement des milliers de composants, mais quelqu’un doit assurer leur maintenance en cas de problème.

De Spring à des milliers de paquets Java, Python et Node.js

Broadcom bénéficie d’une position privilégiée puisqu’elle maintient Spring, l’un des environnements les plus utilisés pour le développement d’applications Java professionnelles.

Spring Enterprise constitue l’une des trois composantes de TrueSource. La société affirme couvrir plus de 5 000 bibliothèques Java vérifiées, construites en versions précises correspondant aux différentes branches supportées de Spring Boot. Cela inclut également des dépendances comme Apache Tomcat et Kotlin.

Mais TrueSource ambitionne de dépasser ce périmètre.

TrueSource Trusted Artifacts étend la couverture à l’ensemble de l’écosystème Java, mais aussi à Python et Node.js. Broadcom évoque des builds réalisés dans des environnements contrôlés, vérifiés selon le SLSA Build Level 3, dans le cadre du référentiel de sécurité de la chaîne d’approvisionnement logicielle SLSA (Supply-chain Levels for Software Artifacts).

L’objectif est que l’organisation ne se fie pas uniquement à la promesse que le paquet téléchargé est conforme à ses attentes.

Pour nombre d’entreprises, c’est une préoccupation majeure. Une application moderne peut contenir des centaines ou des milliers de dépendances provenant de dépôts externes. Chacune introduit du code, des mainteneurs, des processus de build et des mécanismes de distribution sur lesquels l’équipe de développement a un contrôle limité.

TrueSource introduit ainsi une couche de sélection et de reconstruction.

Broadcom assure que ses ingénieurs choisiront les composants selon des architectures de référence, les construiront, puis les vérifieront avant de les distribuer aux clients.

L’offre comprend également Bitnami Secure Images, des images renforcées et vérifiables de paquets open source couramment utilisés dans des conteneurs.

PostgreSQL, MySQL, RabbitMQ et Valkey intégrés à TrueSource

La troisième phase de l’annonce étend cette démarche à la couche de données.

TrueSource Data Services proposera des artefacts, du support et une expertise pour déployer et faire fonctionner PostgreSQL, RabbitMQ, MySQL et Valkey.

Ce n’est pas uniquement le binaire principal qui sera concerné. Broadcom prévoit aussi des extensions nécessaires, comme des Operators pour Kubernetes, des Helm Charts, ainsi que des automatisations pour le déploiement de ces services, en plus d’un suivi opérationnel et de sécurité.

Ce choix a du sens d’un point de vue gestion des risques.

Un patch défectueux dans une bibliothèque peut impacter une application. Une mise à jour incorrecte d’une base de données peut directement affecter la disponibilité ou l’intégrité des données.

C’est pourquoi Broadcom insiste sur l’intervention humaine.

La société utilise des modèles avancés d’IA pour analyser le code, mais rejette l’idée que la solution consiste à faire confiance automatiquement aux patches générés par ces modèles.

Broadcom cite une étude d’Off-by-1 Labs, de 1Password, sur 6 000 patches générés par IA. Selon cette étude, seulement 26 % ont résolu la vulnérabilité sans casser l’application concernée.

Ce résultat reflète une méthodologie précise et ne saurait être généralisé à tous les systèmes de génération automatique de patches. Toutefois, il illustre la difficulté d’évaluer un patch uniquement par sa capacité à supprimer la faille de sécurité.

Il faut également s’assurer que le logiciel continue de fonctionner comme prévu.

L’IA détecte davantage de vulnérabilités, mais quelqu’un doit traiter ces alertes

La croissance de l’utilisation de l’IA pour l’analyse du code crée une situation apparemment paradoxale.

Plus il existe d’outils pour détecter des vulnérabilités, plus la charge de travail pourrait revenir aux équipes de sécurité de projets open source.

Broadcom affirme que ses alertes de sécurité mensuelles liées à Spring ont augmenté de plus de 1 700 % et que pendant cinq mois, ses ingénieurs ont analysé plus de 12 milliards de tokens de modèles avancés pour examiner Spring et ses dépendances. Ces chiffres sont issus de la propre présentation de Broadcom pour TrueSource.

Valkey observe un phénomène similaire.

Les responsables du projet expliquent que le volume de vulnérabilités rapportées a augmenté de façon continue sur l’année écoulée, et que l’IA a abaissé les barrières pour détecter et signaler d’éventuels problèmes.

Pour les utilisateurs, c’est une bonne nouvelle : voir apparaître une faille plus tôt permet d’agir rapidement.

Pour les mainteneurs, cela représente une charge supplémentaire.

Chaque rapport doit être reproduit, évalué pour déterminer s’il s’agit réellement d’une vulnérabilité, classé par gravité, et ses branches impactées doivent être identifiées avant de développer une correction.

Il reste aussi à vérifier que le patch ne génère pas de régressions, à le déployer sur les versions supportées et à coordonner sa publication.

En cas de vulnérabilité sous embargo, tout ce travail doit également s’effectuer sans révéler prématurément des détails susceptibles d’aider un exploit.

L’automatisation peut générer dix fois plus de candidats à vulnérabilité. Mais cela n’augmente pas automatiquement le nombre de personnes capables de vérifier et maintenir leurs corrections.

Broadcom s’engage à soumettre les correctifs en amont (upstream)

C’est probablement la partie la plus cruciale de l’annonce pour l’écosystème open source.

Broadcom s’engage à effectuer la remédiation en collaboration avec les maintainers, et non à leur écarter.

Les correctifs élaborés pour TrueSource devraient être soumis aux projets originaux, tandis que l’entreprise apportera expertise et financement aux mainteneurs.

Collaborer upstream a une conséquence pratique.

Si un fournisseur identifie une vulnérabilité et crée un patch interne qu’il ne transmet jamais au projet original, il maintient alors sa propre version modifiée du logiciel.

La prochaine mise à jour pourrait modifier les mêmes parties du code. Une nouvelle vulnérabilité pourrait impacter cette version différemment. Chaque branche privée nécessite alors une maintenance et de nouvelles vérifications.

Le problème s’accroît rapidement lorsque une plateforme dépend de centaines de composants.

Intégrer la correction dans le projet original permet que celle-ci puisse bénéficier de la revue par la communauté, puis faire partie des versions utilisées par l’ensemble de l’écosystème.

Cela limite aussi la fragmentation en matière de sécurité.

Valkey et Aiven illustrent le fonctionnement du modèle

Valkey offre un exemple récent de collaboration entre entreprises et maintainers.

Le projet a insistant sur le travail d’Aiven, dès ses premières étapes, en apportant du support d’ingénierie mais aussi en consommant le logiciel.

Dans une correction récente, selon un responsable de Valkey, Aiven a fourni un patch totalement vérifié qu’elle avait reçu d’un client, et s’est portée volontaire pour participer à sa réparation.

La différence avec l’envoi d’un simple rapport automatisé est considérable.

Un bon rapport de sécurité peut inclure un cas reproductible, les versions concernées, une analyse technique et une proposition de correction. Cela réduit significativement le temps nécessaire pour que les mainteneurs transforment une alerte en mise à jour.

Broadcom souhaite suivre une philosophie similaire avec TrueSource.

L’objectif est que ses ingénieurs analysent, corrigent et vérifient les problèmes, tout en veillant à ce que le résultat soit renvoyé aux projets originaux lorsque cela est pertinent.

Il reste à voir comment cette promesse sera concrétisée dans chaque communauté, car PostgreSQL, MySQL, Valkey, Python ou l’ensemble de l’écosystème Java ont des structures de gouvernance et de développement très variées.

TrueSource vise aussi à automatiser la mise en production des correctifs

Le travail en sécurité ne s’arrête pas une fois que le projet a publié une mise à jour.

Ensuite, il faut intégrer cette mise à jour dans les applications.

Broadcom prévoit d’ajouter des outils qui analyseront les dépôts de ses clients afin d’évaluer l’impact des nouvelles versions, et pourront générer des pull requests proposant la mise à jour avec le moindre risque.

Les équipes sécurité auront aussi accès à des tableaux de bord indiquant quelles vulnérabilités ont été corrigées et lesquelles restent en suspens.

L’entreprise envisage même un mécanisme pour gérer les vulnérabilités encore inconnues publiquement.

Les clients disposant des licences appropriées pourront signaler des vulnérabilités non divulguées et accéder en amont aux correctifs. Des organisations d’infrastructures critiques bénéficieront d’un programme spécifique avec des informations sur les correctifs et les recommandations de mitigation.

Ce modèle ressemble davantage à une chaîne d’approvisionnement gérée de composants open source qu’à un simple dépôt de packages traditionnel.

Le business de l’open source évolue vers la confiance

TrueSource reflète aussi l’évolution du modèle économique autour du logiciel open source.

La valeur commerciale ne réside plus forcément dans la possession du code.

Elle peut résider dans la capacité à prouver qui a compilé le code, à en vérifier la provenance, à maintenir des versions sur le long terme, à répondre aux vulnérabilités, et à garantir qu’une mise à jour peut être déployée en production dans un cadre de risque maîtrisé.

L’IA peut accélérer une partie de ce processus.

Elle peut passer au crible d’énormes quantités de code, rechercher des schémas suspects, et aider à élaborer des solutions possibles. Broadcom l’utilise déjà ainsi pour Spring.

Mais la société fixe aussi une limite claire : les patches finaux doivent toujours reposer sur une ingénierie responsable et une revue humaine.

Ce constat rejoint une problématique qui va probablement prendre de l’ampleur dans les années à venir.

Découvrir des vulnérabilités devient de plus en plus abordable. Maintenir un logiciel sécurisé demande toujours des personnes qui comprennent comment ça fonctionne.

TrueSource constitue la réponse commerciale de Broadcom pour combler cette différence.

Et son succès ne se résumera pas uniquement au volume de bibliothèques Java, Paquets Python, modules Node.js ou bases de données intégrés dans son catalogue.

Une mesure beaucoup plus pertinente sera de vérifier combien de corrections trouvées finissent réellement dans Spring, Valkey, et les autres projets open source concernés.

Car utiliser du code open source, c’est simple. Mais assurer la maintenance de ce code pendant des années, lorsque des milliers d’entreprises en dépendent, c’est la partie qui coûte du temps et de l’argent.

Questions fréquentes

Qu’est-ce que Broadcom TrueSource ?

TrueSource est un portefeuille commercial de Broadcom destiné à fournir des composants open source sélectionnés, construits de manière vérifiable et accompagnés d’un support pour les entreprises.

TrueSource sera-t-il compatible avec Java, Python et Node.js ?

Oui. TrueSource Trusted Artifacts étend la couverture aux bibliothèques de l’écosystème Java, Python et Node.js, tout en intégrant des images de conteneurs Bitnami.

Quels moteurs de base de données sont pris en charge par TrueSource Data Services ?

Broadcom a annoncé initialement PostgreSQL, MySQL, RabbitMQ et Valkey, avec des composants et outils liés à leur déploiement et leur gestion.

Broadcom utilisera-t-elle l’IA pour corriger automatiquement les vulnérabilités ?

L’entreprise emploie déjà des modèles d’IA pour accélérer la détection et l’analyse des failles, mais insiste sur le fait que les correctifs doivent être créés, revus et validés par des ingénieurs, puis coordonnés avec les maintainers des projets.