Heute hat Aikido das Unternehmen Root übernommen. 🚀
Open Source treibt fast jede Anwendung weltweit an und ist zum primären Einstiegspunkt für Angreifer geworden. Die Sicherheit der Software-Lieferkette steht unter Beschuss.
Auch die Angreifer werden immer schneller. Dank KI lässt sich das Ausnutzen bekannter Schwachstellen kostengünstiger gestalten, noch bevor die meisten Teams die Möglichkeit haben, diese zu beheben. Fast ein Drittel der bekannten Schwachstellen wird bereits am Tag ihrer Bekanntgabe oder noch früher ausgenutzt. Unterdessen läuft unser alter Bekannter Log4Shell, der 2021 entdeckt wurde, auch heute noch auf Millionen von Produktionssystemen.
Die meisten Teams stecken jedoch fest zwischen drei Optionen, die nicht funktionieren:
- Upgraden und riskieren, die Produktion zu unterbrechen
- Migrieren auf einen proprietären Ersatz eines Anbieters
- Weiterhin anfällige Software betreiben
Die Realität ist, dass Upgrades nicht einfach sind (Überraschung). Ein Abhängigkeits-Update kann die Produktion unterbrechen, Dutzende von nicht zusammenhängenden Änderungen mit sich bringen, von Versionen abhängen, die noch nicht existieren, oder sogar eigene neue Schwachstellen einführen. Selbst wenn alles gut geht, nehmen Upgrades Wochen an Entwicklungszeit in Anspruch.
Fakt ist: Open Source benötigt Patches, und zwar schnell.
Root löst diese Herausforderung der Lieferkette mit einem Agent-nativen Ansatz. Anstatt Agenten, die nur Schwachstellen finden, haben sie ein fabrikähnliches System entwickelt, bei dem Agenten präzise CVE-Patches für die Paketversionen generieren, die Teams tatsächlich verwenden, und das mit Maschinengeschwindigkeit.
Das Ergebnis? Hunderte von verifizierten CVE-Patches werden täglich erstellt.
Die – Achtung – keine Breaking Changes einführen.
„Die Branche steckt immer noch bei der Triage fest, geht eine riesige Liste von CVEs durch und streitet darüber, welche zuerst behoben werden sollen. Oder schlimmer noch, Teams wird gesagt, sie sollen ihre Images wegwerfen und mit denen eines anderen neu beginnen“, sagt Ian Riopel, Mitbegründer und CEO von Root. „Wir haben Root entwickelt, um die Diskussion zu überspringen und das Problem direkt vor Ort zu beheben. Dies ist eine Wahl zwischen Walled Gardens und echter Unterstützung für Open Source. Wir haben uns für Open Source entschieden.“
Jetzt integrieren wir diese Fähigkeit in Aikido.
Wir führen Aikido Libraries und Aikido Images ein: schwachstellenfreie, direkt einsetzbare Ersatzbibliotheken und Container-Images, die die Software patchen, die Teams bereits verwenden, ohne Migration und, was am wichtigsten ist, ohne Breaking Changes.
Sie sind bereits in Produktion und für alle Aikido erhältlich ( hier geht’s zum Bildkatalog ).
Wenn eine neue CVE eingeführt wird, generieren wir den Patch, der für Ihr System, auf Ihrer exakten Version funktioniert. So bleiben Sie kontinuierlich geschützt.
Und nein, „private Patches für Open Source“ ist nicht die Schlagzeile.
Kritische Fixes für aktiv ausgenutzte Schwachstellen werden weiterhin an die Community zurückgegeben, upstream über Ökosysteme hinweg, nicht hinter einer Paywall eingeschlossen. Wenn wir die Sicherheit der Software-Lieferkette lösen wollen, muss das Ökosystem sicherer werden, nicht nur unsere Kunden.
„Open-Source-Maintainer ertrinken in Sicherheitsarbeit, während sie versuchen, die Projekte am Laufen zu halten, von denen die Welt abhängt“, sagt Adrian Estrada, CTO von NodeSource, OpenJS Board Director und Node.js Core Contributor. „Aikido und Root nehmen uns Arbeit ab, indem sie Fixes zurückportieren und upstream beitragen.“
Willkommen bei Aikido, Root. Und ein herzliches Willkommen an Roots Mitbegründer Ian, John, Benji und Mickey sowie den Rest des Root-Teams!
Die Mission? Entwickelnde sollen sich wieder auf das Entwickeln konzentrieren können.
xo Madeline, Aikido
{{cta}}
