IBM 和 Red Hat 称 Lightwell 修复了 400 多个此前未知的 Java 库缺陷，但未披露细节

IBM 和 Red Hat 于 2026 年 10 月 6 日宣布，其 Lightwell 计划已在流行的 Java 库中发现并修补了超过 400 个此前未知的漏洞。在同一公告中，两家公司表示 Lightwell Clearinghouse 现已全面可用。这是一项服务，企业客户可以通过它提交特定的开源依赖项，并要求优先对其进行审查和修复。

据新闻稿介绍，Lightwell 将两家公司的工程师以及 Red Hat 与开源社区的联系，与 AI 辅助的工程工作流程以及 Red Hat 的构建和供应链基础设施结合在一起。两家公司称，它会针对客户已在生产环境中运行的依赖项的确切版本生成量身定制的修复并进行向后移植，使团队无需先升级即可应用补丁。补丁通过受保护的软件仓库交付，旨在融入现有的扫描工具、流水线和测试流程。Phoronix 将 Lightwell 描述为 Red Hat 一项依赖专用 AI 代理的供应链工作。

公告中缺少的是核实这一数字所需的细节。Help Net Security 指出，两家公司没有列出受影响的库名称，也没有给出 CVE 编号、严重性评级或这些发现的时间范围。Phoronix 同样表示，有关单个漏洞的细节很少，并报道称，几天前发出的一版禁发期新闻稿中提到的是 300 多个漏洞，之后这一数字才被提高到 400 多个。新闻稿本身时而称这些发现为漏洞，时而称为错误，也没有说明其中有多少是严重的。

据新闻稿，适用于上游项目的修复会按照负责任披露规则回馈给这些项目，而 Clearinghouse 参与者则保留禁发期保护。Help Net Security 阐明了这对其他所有人意味着什么：使用受影响的库但未参加该计划的组织，只能在披露允许后，通过公开的上游版本获得修复。

两家公司将这项工作置于由 AI 实施的攻击这一背景下，认为自主 AI 代理可以将多个轻微弱点串联成更严重的攻击，因此如果没有可部署的修复，仅仅发现缺陷是不够的。Red Hat 负责 Lightwell 的副总裁兼总经理 Gunnar Hellekson 表示，发现错误只是工作的一部分。他还说，400 多个发现的速度表明了 Lightwell 能够以多快的速度推进。