IBM och Red Hat lägger 5 miljarder dollar på att säkra öppen källkod

IBM och Red Hat satsar 5 miljarder dollar, motsvarande runt 46 miljarder kronor, på att skydda öppen källkod mot säkerhetshål i AI-eran. Initiativet heter Project Lightwell och presenterades i slutet av maj 2026. Målet är att hitta och täppa till sårbarheter i den kod som ligger till grund för allt från banksystem till de appar du använder dagligen. Bakom satsningen står 20 000 utvecklare.

Det här är inte en symbolisk gest. IBM bygger ett eget cybersäkerhetscenter där företag kan prenumerera på koduppdateringar, ungefär som ett larmsystem för säkerhetshål. Och stora banker som Goldman Sachs, Morgan Stanley och Visa står redan på listan över kommande användare.

Vad Project Lightwell faktiskt gör

Project Lightwell är ett initiativ för att hitta, validera och åtgärda säkerhetsbrister i öppen källkod på stor skala. Tanken är att flytta säkerhetsarbetet från eldsjälar på fritiden till en organiserad process med riktiga resurser bakom sig.

Konkret handlar satsningen om tre saker:

• Hitta hålen i leveranskedjan. Modern programvara byggs av tusentals små byggstenar. En sårbarhet i ett enda bibliotek kan spridas till tiotusentals system. Lightwell ska identifiera dessa svaga punkter innan någon hinner utnyttja dem.
• Bygga rutiner som skalar. Att hitta en bugg är enkelt. Att hitta, verifiera och fixa tusentals buggar systematiskt är något helt annat. Här ligger den stora utmaningen.
• Samordna och distribuera fixar. Via IBM:s nya säkerhetscenter kan företag prenumerera på uppdateringar och få veta vad de behöver åtgärda och när.

IBM är redan nav för flera av världens viktigaste öppenkodsprojekt: Linux, Java, Kubernetes, Kafka, Ansible och Terraform bland andra. Lightwell ska sprida samma säkerhetsprinciper vidare till oberoende bibliotek, AI-ramverk och krypteringsplattformar.

Varför öppen källkod är ett säkerhetsproblem just nu

Öppen källkod är den osynliga grunden under nästan all modern IT. Problemet är att mycket av den koden byggts och underhållits av hobbyister på fritiden, samtidigt som miljardföretag bygger sina system ovanpå den.

Den obalansen har alltid funnits. Men AI ändrade spelreglerna.

Med AI-verktyg kan en angripare gå igenom enorma mängder källkod och leta svagheter på minuter, något som tidigare krävde veckor av manuellt arbete. En enskild utvecklare, Joshua Rogers, lyckades hitta över 1 000 sårbarheter i öppen källkod med hjälp av AI. Det visar hur kraftfullt verktyget är åt båda håll. Det som hjälper en säkerhetsforskare hjälper också en cyberbrottsling.

Samtidigt växer högen av oåtgärdade säkerhetsproblem i många projekt. Underhållarna hinner helt enkelt inte med. Det är precis den glipan Lightwell vill täppa till.

Ett clearinghouse för säkerhet

IBM:s nya cybersäkerhetscenter fungerar som en central knutpunkt. I stället för att varje företag på egen hand ska bevaka hundratals öppenkodsprojekt kan de prenumerera på en samlad ström av verifierade säkerhetsuppdateringar.

Liknelsen med ett clearinghouse är träffande. Precis som banker använder en mellanhand för att avveckla betalningar samlar IBM säkerhetsinformation på ett ställe och fördelar den vidare. Det här liknar problematiken kring supply chain-attacker på GitHub, där en svaghet i en enda komponent kan slå mot tusentals nedströms.

För svenska företag som bygger på samma öppenkodsstack och det är de flesta, kan en sådan tjänst spara enormt med tid. Frågan blir hur många som faktiskt vill betala för säkerhet de hittills fått gratis.

Vad det betyder för utvecklare och företag

Den stora vinsten är att säkerhetsarbete som länge byggt på frivillighet får professionell ryggrad. Den stora risken är beroendet. När en enda aktör blir navet för säkerhetsinformation om öppen källkod, vad händer med projekt som hamnar utanför systemet?

InfoWorld beskriver IBM:s ambition som att bli just ett säkerhetsclearinghouse för öppen källkod i företagsmiljö. Det är en position med mycket inflytande.

Marknaden reagerade direkt

IBM-aktien steg 10,27 procent dagen för tillkännagivandet. Lyftet drevs delvis av Lightwell, delvis av en separat satsning på 10 miljarder dollar i kvantdatorforskning fram till 2029.

Att marknaden belönar säkerhetsinvesteringar så tydligt säger något om läget. Cybersäkerhet har gått från kostnadspost till tillväxtberättelse. Det är en trend som också syns i diskussionen om huruvida AI-satsningar bygger på luftslott eller framtidens grund, där investerarnas aptit på tekniksektorn fortsätter att växa.

FAQ

Vad är Project Lightwell?

Project Lightwell är ett initiativ från IBM och Red Hat som ska säkra öppen källkod genom att hitta, validera och åtgärda sårbarheter på stor skala. Satsningen omfattar 5 miljarder dollar och 20 000 utvecklare och presenterades i slutet av maj 2026.

Hur mycket investerar IBM och Red Hat?

IBM och Red Hat investerar tillsammans 5 miljarder dollar, ungefär 46 miljarder kronor, i Project Lightwell. Utöver det har IBM avsatt 10 miljarder dollar för kvantdatorforskning fram till 2029, vilket är en separat satsning.

Varför är öppen källkod en säkerhetsrisk i AI-eran?

AI-verktyg gör det möjligt att skanna stora mängder källkod efter sårbarheter på minuter. Det hjälper både säkerhetsforskare och cyberbrottslingar. Samtidigt hinner många öppenkodsprojekt, som ofta drivs av frivilliga, inte åtgärda alla rapporterade säkerhetsbrister.

Vilka projekt omfattas av satsningen?

IBM är nav för stora öppenkodsprojekt som Linux, Java, Kubernetes, Kafka, Ansible och Terraform. Lightwell ska sprida samma säkerhetsprinciper vidare till oberoende bibliotek, språkverktygskedjor, AI-ramverk och datakrypteringsplattformar.

Vad är ett säkerhets-clearinghouse?

Ett säkerhets-clearinghouse är en central knutpunkt som samlar in, verifierar och fördelar säkerhetsuppdateringar. I stället för att varje företag bevakar hundratals projekt själva kan de prenumerera på en samlad ström av verifierade fixar via IBM:s nya cybersäkerhetscenter.

Påverkar det här svenska företag?

Ja. De flesta svenska företag bygger sina system på samma öppenkodsbas som omfattas av Lightwell. Snabbare insyn i sårbarheter i leveranskedjan kan spara tid och minska risk men det innebär också ett beroende av en kommersiell aktör för säkerhetsinformation som tidigare varit gratis.