IBM और Red Hat का कहना है कि Lightwell ने Java लाइब्रेरी की 400+ अज्ञात खामियाँ ठीक कीं, लेकिन कोई विवरण उजागर नहीं करतीं

IBM और Red Hat ने 6 अक्टूबर 2026 को घोषणा की कि उनकी Lightwell पहल ने लोकप्रिय Java लाइब्रेरी में 400 से अधिक ऐसी कमज़ोरियाँ खोजी हैं और उनके पैच तैयार किए हैं जो पहले ज्ञात नहीं थीं। उसी घोषणा में दोनों कंपनियों ने कहा कि Lightwell Clearinghouse अब आम तौर पर उपलब्ध है। यह एक सेवा है जिसके ज़रिए एंटरप्राइज़ ग्राहक विशेष ओपन सोर्स डिपेंडेंसी सौंप सकते हैं और अनुरोध कर सकते हैं कि उनकी समीक्षा की जाए और उन्हें प्राथमिकता के साथ ठीक किया जाए।

प्रेस विज्ञप्ति के अनुसार, Lightwell दोनों कंपनियों के इंजीनियरों और ओपन सोर्स समुदायों के साथ Red Hat के संबंधों को AI-सहायता प्राप्त इंजीनियरिंग वर्कफ़्लो और Red Hat के बिल्ड व सप्लाई चेन इंफ्रास्ट्रक्चर के साथ जोड़ता है। कंपनियों का कहना है कि यह ऐसे सुधार तैयार करता है जो डिपेंडेंसी के ठीक उन्हीं संस्करणों के अनुरूप होते हैं जिन्हें ग्राहक पहले से प्रोडक्शन में चला रहे हैं, और उन्हें बैकपोर्ट करता है, ताकि टीमें पहले अपग्रेड किए बिना पैच लागू कर सकें। पैच सुरक्षित रिपॉज़िटरी के माध्यम से दिए जाते हैं, जिनका उद्देश्य मौजूदा स्कैनर, पाइपलाइन और परीक्षण प्रक्रियाओं में फ़िट होना है। Phoronix, Lightwell को Red Hat का सप्लाई चेन से जुड़ा एक प्रयास बताता है जो विशेष AI एजेंट पर निर्भर करता है।

घोषणा में जो बात छूट गई है, वह इस संख्या की जाँच के लिए ज़रूरी विवरण है। Help Net Security बताता है कि कंपनियों ने प्रभावित लाइब्रेरी के नाम नहीं बताए और न कोई CVE नंबर, न गंभीरता रेटिंग और न इन खोजों की कोई समय-सीमा दी। Phoronix भी कहता है कि अलग-अलग कमज़ोरियों के बारे में विवरण बहुत कम है, और रिपोर्ट करता है कि विज्ञप्ति के एक एम्बार्गो वाले संस्करण में, जो कुछ दिन पहले भेजा गया था, 300+ कमज़ोरियों की बात कही गई थी, इससे पहले कि आँकड़ा बढ़ाकर 400+ किया गया। विज्ञप्ति स्वयं इन खोजों को कभी कमज़ोरियाँ और कभी बग कहती है, और यह नहीं बताती कि उनमें से कितनी गंभीर थीं।

विज्ञप्ति के अनुसार, जो सुधार अपस्ट्रीम प्रोजेक्ट पर लागू होते हैं, उन्हें ज़िम्मेदार प्रकटीकरण के नियमों के तहत उन्हें वापस योगदान किया जाता है, जबकि Clearinghouse प्रतिभागियों को एम्बार्गो सुरक्षा मिलती रहती है। Help Net Security स्पष्ट करता है कि बाकी सभी के लिए इसका क्या अर्थ है: जो संगठन प्रभावित लाइब्रेरी का उपयोग करते हैं लेकिन प्रोग्राम में शामिल नहीं हैं, उन्हें सुधार केवल सार्वजनिक अपस्ट्रीम रिलीज़ के माध्यम से मिलेंगे, जब प्रकटीकरण इसकी अनुमति देगा।

कंपनियाँ इस काम को AI द्वारा किए जाने वाले हमलों के संदर्भ में प्रस्तुत करती हैं, और तर्क देती हैं कि स्वायत्त AI एजेंट कई छोटी कमज़ोरियों को जोड़कर एक अधिक गंभीर हमला कर सकते हैं, इसलिए तैनात किए जा सकने वाले सुधारों के बिना खामियाँ खोजना पर्याप्त नहीं है। Red Hat में Lightwell के उपाध्यक्ष और महाप्रबंधक Gunnar Hellekson ने कहा कि बग खोजना काम का केवल एक हिस्सा है। उन्होंने आगे कहा कि 400+ खोजों की गति दिखाती है कि Lightwell कितनी तेज़ी से आगे बढ़ सकता है।