IBM engage 5 milliards de dollars pour sécuriser les logiciels open source avec l'IA

IBM et Red Hat ont engagé 5 milliards de dollars dans Project Lightwell, un guichet unique qui utilise une IA de pointe et 20 000 ingénieurs pour identifier et corriger les vulnérabilités open source dans les chaînes d'approvisionnement logicielles des entreprises.

« L'open source est l'épine dorsale de l'économie numérique d'aujourd'hui et le fondement de l'IA moderne, et nous sommes à un point d'inflexion dans la manière dont il est construit, sécurisé et mis à l'échelle », a déclaré Arvind Krishna, président et directeur général d'IBM. « Avec Project Lightwell, IBM et Red Hat contribuent à définir un nouveau modèle industriel, qui rassemble l'IA, l'expertise en ingénierie et la collaboration de confiance, pour sécuriser les logiciels open source à leur source et dans l'ensemble de la chaîne d'approvisionnement. »

Cette initiative intervient alors que la découverte de vulnérabilités pilotée par l'IA s'accélère. Le modèle Mythos Preview d'Anthropic a identifié près de 3 900 vulnérabilités de sévérité élevée ou critique dans le seul code open source. Plus de 90 % des entreprises du Fortune 500 dépendent de logiciels open source, selon IBM. Le guichet unique proposera des abonnements commerciaux pour des correctifs validés, une coordination de la divulgation en amont et une gestion du cycle de vie de niveau entreprise.

Le modèle défie directement la tendance dominante du secteur qui consiste à utiliser l'IA pour réduire les effectifs techniques. IBM positionne plutôt la capacité d'ingénierie comme un actif stratégique, en déployant une force de 20 000 personnes pour la maintenance en amont, le triage des vulnérabilités et le développement de correctifs. Les premiers adoptants incluent Bank of America, Citi, Goldman Sachs, JPMorganChase, Mastercard, Morgan Stanley et Visa — offrant à IBM un retour d'expérience concret provenant des environnements logiciels les plus complexes du secteur financier.

Le modèle du guichet unique

Project Lightwell s'appuie sur les opérations open source existantes d'IBM et de Red Hat. IBM utilise déjà plus de 62 000 packages open source, avec une expertise approfondie sur 10 000 d'entre eux. L'entreprise gère des technologies telles que Linux, Java, Kubernetes, Kafka, Ansible, Terraform, Flink et Cassandra — l'un des écosystèmes open source commerciaux les plus vastes du secteur. Le guichet unique étend cette discipline au-delà de l'empreinte produit d'IBM, vers les bibliothèques indépendantes, les chaînes d'outils linguistiques, les frameworks d'IA et les plateformes de streaming de données.

Via le guichet unique, les entreprises peuvent signaler les vulnérabilités découvertes dans leurs versions logicielles actives, recevoir des correctifs optimisés pour les environnements de production et coordonner les divulgations en amont afin que les communautés open source puissent inclure les correctifs dans la maintenance à long terme. Le modèle intègre les enseignements des initiatives Project Glasswing d'Anthropic et Trust Access for Cyber d'OpenAI, IBM appliquant ses propres méthodes de sécurité agentique pour protéger les couches open source fondamentales qui sous-tendent les systèmes d'entreprise et d'IA modernes.

Implications pour les investisseurs

Pour les investisseurs, Project Lightwell signale un pari stratégique selon lequel les dépenses de sécurité des entreprises se déplaceront vers la gestion externalisée des risques open source. IBM crée effectivement une nouvelle catégorie d'abonnement — le guichet unique de sécurité open source — qui pourrait générer des revenus récurrents auprès des mêmes institutions financières qui dépensent déjà pour les abonnements Red Hat et le conseil IBM. La liste des premiers adoptants, dominée par les banques d'importance systémique mondiale, suggère que le produit répond à un problème que les équipes de sécurité internes ont eu du mal à résoudre seules.

Les actions IBM se négocient à environ 22 fois les bénéfices futurs. L'engagement de 5 milliards de dollars, étalé sur plusieurs années, représente un pari significatif mais gérable pour une entreprise réalisant 62 milliards de dollars de chiffre d'affaires annuel. Si le modèle du guichet unique gagne du terrain, il pourrait faire pression sur des concurrents tels que Snyk, Sonatype et Dependabot de GitHub pour qu'ils développent leurs propres offres de sécurité gérées. La conséquence plus large : à mesure que l'IA accélère la découverte de vulnérabilités, le coût de la sécurisation de l'open source augmente — et les entreprises sont de plus en plus disposées à externaliser ce risque auprès de fournisseurs disposant d'une échelle suffisante.

Cet article est fourni à titre d'information uniquement et ne constitue pas un conseil en investissement.