90 % du code d’une entreprise vient aujourd’hui de l’open source, et ces briques ont totalisé 9,8 billions de téléchargements en 2025. Un code source contient en moyenne 581 vulnérabilités, et un exploit assisté par IA coûte parfois à peine 50 dollars à monter. C’est ce décalage entre volume et capacité de correction qu’IBM et Red Hat veulent combler avec Lightwell, déjà lancé commercialement cette semaine. Ce qui change ici, c’est le choix du premier secteur testé à grande échelle : la finance.

Contexte et enjeux

Le lancement commercial de Lightwell s’appuie sur deux offres, Lightwell Network, en disponibilité générale avec plus de 6 500 dépendances corrigées et signées pour les écosystèmes Java et Python, et Lightwell Clearinghouse Premier, réservé pour l’instant à un lancement limité. C’est cette seconde brique, conçue pour coordonner la gestion des correctifs sous embargo entre organisations, qui démarre exclusivement dans le secteur financier avant d’envisager la santé, les télécoms ou l’administration publique.

Le projet s’inscrit dans l’engagement de 5 milliards de dollars annoncé par IBM et Red Hat en mai 2026 pour la sécurité de l’open source, avec plus de 20 000 ingénieurs mobilisés pour superviser la remediation assistée par IA.

Les faits

Scott DePasquale, président-directeur général d’ARC, justifie ce choix par l’expérience du secteur en matière de coopération sécuritaire : « Aucune institution ne peut faire face seule à l’ampleur et à la complexité croissantes des vulnérabilités dans l’open source. Le secteur financier a longtemps démontré la valeur de la collaboration pour relever ses défis communs en sécurité. »

Jerry Silva, vice-président de programme pour IDC Financial Insights, situe l’enjeu du côté des coûts de conformité : les établissements financiers supportent déjà des charges réglementaires élevées, ce qui les pousse à prendre très au sérieux l’usage du logiciel open source. Selon lui, la collaboration entre Red Hat et IBM pour identifier, classifier et corriger les vulnérabilités renforcera la résilience de ces organisations à l’échelle mondiale.

Matt Hicks, président et CEO de Red Hat, décrit Lightwell comme un changement dans la façon de protéger le logiciel d’entreprise : en associant correction automatisée et expertise d’ingénierie, l’objectif est de fournir l’infrastructure de confiance nécessaire pour exploiter le code open source de manière fiable et à la vitesse de l’IA.

Analyse et implications

La partie la moins commentée du lancement, c’est l’écosystème qui l’entoure. Coté technologie, AWS, AMD, F5, GitLab, Intel, JFrog, Microsoft, NVIDIA, Palo Alto Networks et ServiceNow collaborent déjà avec IBM et Red Hat pour déployer les corrections Lightwell dans des environnements variés. Côté intégration, IBM Consulting et Red Hat Consulting s’appuient sur Accenture, Atos, Cognizant, Deloitte, EY, HCLTech, Infosys, Kyndryl, NTT Data, Tata Consultancy Services et Tech Mahindra pour cartographier les SBOM des clients, gérer les versions et intégrer les registres Lightwell.

Pour une banque ou un assureur, ce réseau de partenaires compte autant que la technologie elle-même. Une correction validée ne sert à rien si elle n’atteint pas les pipelines de déploiement, les règles réseau et les environnements cloud déjà en place. C’est précisément ce que Lightwell tente d’automatiser, en s’appuyant sur des cabinets qui connaîssent déjà les contraintes réglementaires du secteur.

Reste la question du modèle économique. En réservant l’accès commercial de Clearinghouse Premier à des organisations qualifiées, IBM et Red Hat filtrent délibérément leur première vague de clients. La complexité des cadres légaux et de divulgation propres à chaque secteur explique ce choix, mais elle retarde aussi l’extension à la santé ou aux télécoms, pourtant évoquée comme prochaine étape.

Perspectives

Le modèle « upstream-always » de Red Hat, qui renvoie les correctifs vers les projets open source d’origine, reste la garantie avancée par les deux entreprises pour éviter la fragmentation entre sécurité commerciale et santé communautaire. Si le pilote financier tient ses promesses, il servira de modèle pour démontrer que Lightwell peut opérer à grande échelle avant d’être ouvert à d’autres infrastructures critiques.

D’ici là, le catalogue de Lightwell Network devrait passer de quelques milliers à plusieurs millions de paquets corrigés, porté par le moteur de remediation basé sur l’IA. La vraie question pour les entreprises réglementées n’est pas de savoir si l’outil fonctionne techniquement, elle porte sur qui, dans cette chaîne de partenaires, assumera la responsabilité en cas d’incident.

Questions fréquemment posées

Pourquoi la finance est-elle le premier secteur testé par Lightwell Clearinghouse Premier ?
Parce que ce secteur a déjà l’habitude de coopérer sur la sécurité face à des menaces communes, selon ARC et IDC Financial Insights.

Quels partenaires technologiques participent à Lightwell ?
AWS, AMD, F5, GitLab, Intel, JFrog, Microsoft, NVIDIA, Palo Alto Networks et ServiceNow, pour ne citer que les principaux.

Quel rôle jouent les cabinets de conseil ?
Accenture, Deloitte, EY, Kyndryl, TCS et d’autres aident les clients à cartographier leurs SBOM et à intégrer les registres Lightwell dans leurs pipelines existants.

Combien de vulnérabilités contient en moyenne un code source d’entreprise ?
581 en moyenne, selon les chiffres cités par IBM et Red Hat, sur un code composé à 90 % d’open source.

Clearinghouse Premier va-t-il s’étendre à d’autres secteurs ?
Oui, IBM et Red Hat prévoient une extension à l’administration publique, la santé et les télécommunications dans des phases ultérieures.

source : newsroom.ibm