Proteger el tejido tecnológico empresarial: una hoja de ruta para el código abierto

Por Chris Wright, Chief Technology Officer and Senior Vice President, Global Engineering en Red Hat

 

Las vulnerabilidades de día cero impulsadas por IA plantean dudas sobre el riesgo del software de código abierto. Sin embargo, al representar más de tres cuartas partes del código empresarial, no existe una alternativa real. A diferencia del software propietario, la transparencia del código abierto permite que cualquier usuario o desarrollador detecte, audite y reporte fallos con enorme rapidez.

Ningún modelo garantiza un código perfecto, pero la naturaleza colaborativa del código abierto ofrece ventajas claras ante las amenazas modernas. El verdadero reto actual es la velocidad: el número de vulnerabilidades registradas (CVE) ha crecido más de un 520% desde 2016. Las herramientas de IA descubren fallos críticos en horas, pero menos del uno por ciento de ellos cuenta con un parche desplegado.

El problema se agrava por la falta de coordinación. Las grandes organizaciones utilizan los mismos paquetes esenciales, pero, al no coordinarse, cada una detecta los fallos de forma independiente, desarrolla parches aislados y mantiene bifurcaciones privadas (forks) ineficientes. Esto genera una duplicidad de esfuerzos masiva sin beneficiar al ecosistema. Para garantizar la resiliencia operativa, las empresas deben acelerar sus procesos, colaborar activamente y aportar sus mejoras a los proyectos de origen (upstream).

 

Qué pueden hacer las empresas para empezar hoy mismo

El código abierto es la base más segura para innovar, pero reducir el tiempo de exposición exige acción inmediata. Pasos clave para proteger la cadena de suministro de software:

-     Elegir plataformas respaldadas por proveedores responsables: verificar que los proveedores contribuyan activamente upstream, apliquen backporting y practiquen una divulgación responsable para garantizar la salud de la comunidad.
-     Crear un inventario completo de dependencias: auditar la cartera de aplicaciones para identificar cada biblioteca, versión y dependencia transitiva en producción.
Definir el tiempo de ciclo desde el parche hasta la producción: medir el tiempo real que tarda un parche en desplegarse y fijar metas agresivas para reducir esa ventana al mínimo.
-     Automatizar los pipelines de reconstrucción y redespliegue: preparar el entorno para reconstrucciones de aplicaciones frecuentes, predecibles y automatizadas permite incorporar paquetes seguros a gran velocidad y sin riesgos.
-     Adoptar soluciones de seguridad activas: Implemente herramientas con líneas base sin CVEs y protección en tiempo de ejecución (como Red Hat Hardened Images, Trusted Libraries y OpenShift ACS).

 

Acelerar el cambio con el Proyecto Lightwell

IBM y Red Hat han presentado el Proyecto Lightwell, una inversión conjunta de 5.000 millones de dólares con 20.000 ingenieros para redefinir la seguridad de la cadena de suministro en la era de la IA.

El proyecto escala la metodología de Red Hat en backporting empresarial de parches, extendiéndola desde el sistema operativo hacia frameworks como Java (Maven), Python (PyPI) o JavaScript (npm). Combinando IA e ingeniería humana, aplica correcciones quirúrgicas sobre versiones estables en producción, evitando actualizaciones disruptivas.

Para evitar que cada parche cree un fork privado permanente que aumente los costes y riesgos operativos, Red Hat contribuye la solución al proyecto upstream de origen, integrándola en el código público.

Asimismo, apoya las directrices de la Orden Ejecutiva sobre IA y ciberseguridad de EE. UU., sirviendo como columna vertebral del sector privado ante las exigencias normativas en infraestructuras críticas.

 

Colaborar para proteger la empresa y todo el ecosistema de código abierto

Proteger la cadena de suministro de software exige un esfuerzo colectivo. Mediante el Proyecto Lightwell, IBM y Red Hat colaboran con líderes del sector financiero e infraestructuras críticas para crear un centro de confianza empresarial compartido.

Esta red aporta tres capacidades estratégicas: una defensa coordinada para compartir vulnerabilidades y recibir parches antes de su difusión pública; una entrega lista para producción con parches firmados criptográficamente, SBOM legible por máquina y avisos normativos; y un compromiso upstream-always donde cada corrección se devuelve al proyecto de código abierto de origen para fortalecer a todo el ecosistema.

El código abierto es el cimiento de la empresa moderna. La vigilancia conjunta y el Proyecto Lightwell garantizan que siga siendo seguro, solucionando los problemas con mayor rapidez y en comunidad.