Broadcom lanceert TrueSource: betaalde open source met controleerbare herkomst

TrueSource, het nieuwe portfolio van Broadcom, bundelt commercieel ondersteunde en verifieerbaar gebouwde open source voor Java, Python en Node.js, kondigde het bedrijf maandag aan op VMware Explore in Las Vegas.

Daarmee krijgt een vraag die inkopers steeds vaker moeten beantwoorden een betaald antwoord: waar komen de bouwstenen vandaan die in productie draaien. Vanaf 11 december 2027 moet een fabrikant onder de Cyber Resilience Act voor nieuwe producten een softwarestuklijst kunnen overleggen die ten minste de directe afhankelijkheden van het product dekt. Broadcom verkoopt vanaf nu ondertekende builds met een controleerbaar herkomstspoor, als alternatief voor een pakket dat je zelf van Maven Central of npm haalt en zelf moet verantwoorden.

Drie onderdelen, drie lagen van de stack

TrueSource brengt drie aanbiedingen samen. Spring Enterprise is de bestaande commerciële tak rond Spring, waarbij de dekking verder reikt dan Spring zelf: ook Apache Tomcat, Kotlin en de rest van de boom vallen eronder, goed voor meer dan 5.000 geverifieerde Java-bibliotheken, gebouwd en ondertekend op precies de versies die elke ondersteunde Spring Boot-releaselijn vastpint. Volgens Techzine gaat het bij Spring Boot 4.0 alleen al om 1.768 beheerde afhankelijkheden.

TrueSource Trusted Artifacts is nieuw en trekt diezelfde aanpak breder: clean room-builds van bibliotheken uit het Java-ecosysteem, Python en Node.js, plus de Bitnami Secure Images-catalogus met geharde containerimages voor honderden veelgebruikte pakketten.

TrueSource Data Services is de derde nieuwkomer en dekt de datalaag: PostgreSQL, RabbitMQ, MySQL en Valkey, inclusief de bijbehorende extensies, Operators en Helm Charts, met deployment-automatisering erbij.

Over alle drie loopt hetzelfde principe. Broadcom levert fixes upstream aan in plaats van eromheen, scant klantrepositories en opent zelf pull requests met de minst risicovolle patchroute, en laat betalende klanten nog niet openbare kwetsbaarheden vroegtijdig aanmelden. Voor organisaties in kritieke infrastructuur is er een apart programma met patch-inzichten.

Wat verifieerbaar gebouwd praktisch betekent

Het dragende woord in de aankondiging is niet ondersteuning maar herkomst. De artefacten worden gebouwd in een afgeschermde omgeving en voldoen aan SLSA Build Level 3, met een attestatiebundel die je met cosign tegen de publieke sleutel van de buildomgeving controleert. Je krijgt dus niet alleen het pakket, maar ook een cryptografisch bewijs van waar en waaruit het gebouwd is.

Let op wat er niet staat. Broadcom belooft in de aankondiging geen softwarestuklijst als product. Wat je koopt is een ondertekend herkomstspoor plus onderhoud, en dat is iets anders dan het SBOM-document dat de Cyber Resilience Act straks van een fabrikant vraagt. De praktische winst zit erin dat je van elk pakket weet welke versie je draait en wie ervoor tekent, wat het opstellen van zo'n stuklijst een stuk minder gokwerk maakt.

De toegangsvoorwaarden zijn concreet. De ondertekende Spring-builds lopen via aparte repositories die je in je eigen artifactserver boven Maven Central zet, en ze dekken de volledige transitieve boom van de meest recente patchreleases van Spring Boot 2.7.x, 3.x en 4.x. Vandaag hangt die toegang aan een abonnement op VMware Tanzu Platform of VMware Tanzu Spring Essentials.

Menselijke controle als verkoopargument

Broadcom zet de lancering nadrukkelijk af tegen volautomatisch patchen. Ingenieurs scannen Spring en de onderliggende boom met frontier-modellen en hebben daar in vijf maanden meer dan 12 miljard tokens aan besteed, maar elke resulterende patch wordt met de hand geverifieerd. "Die vertrouwensbasis kan niet rusten op ongeverifieerde, machinaal gegenereerde patches", zei Ram Velaga, president van de Infrastructure Software Group, in de aankondiging.

Daar zit onderzoek achter dat de moeite waard is om zelf te kennen. Off-by-1 Labs, het onderzoeksteam van 1Password, liet taalmodellen 6.080 patches maken voor zes recent bekendgemaakte kwetsbaarheden en vond dat slechts 26 procent de kwetsbaarheid oploste zonder het gedrag van de applicatie te veranderen, terwijl 53,9 procent het lek niet dichtte, een nieuw probleem introduceerde, of allebei.

Het volume waar dit tegen afgezet wordt is ook echt. In april 2026 zag Broadcom een stijging van 1.766 procent in het aantal securitymeldingen uit de Spring-gemeenschap, een piek die tot in mei aanhield en die volgens het bedrijf leidde tot de grootste set beveiligingspatches in de 23-jarige geschiedenis van Spring.

Voor wie software onder eigen naam levert

De timing is geen toeval, maar de Europese klok loopt anders dan de marketing suggereert. Op 11 september 2026 treedt van de Cyber Resilience Act precies een artikel in werking: de meldplicht bij actief misbruikte kwetsbaarheden en ernstige incidenten, en die geldt ook voor alles wat nu al bij afnemers draait. De eisen rond kwetsbaarhedenbeheer en de softwarestuklijst volgen pas op 11 december 2027, en dan voor producten die vanaf dat moment op de markt komen of ingrijpend worden gewijzigd.

Dat onderscheid bepaalt wat een abonnement wel en niet voor je oplost. Onder die verordening geldt wie een product onder eigen naam of merk op de markt brengt als fabrikant, ook als een bureau elke regel code schreef. Die plicht koop je niet over. Wat je koopt is sneller bewijs en snellere patches. Het kwetsbaarhedenregister per product, het meldloket en de vastgelegde ondersteuningsperiode blijven werk dat in je eigen administratie moet landen.

Wat het kost, staat nergens. Broadcom spreekt van eenvoudige, getrapte sitelicenties zonder gepubliceerde prijslijst, en dat is bij deze leverancier geen detail. Toen Broadcom supportverlenging op bestaande VMware-licenties weigerde, stapte T-Mobile naar de rechter en haalde het tegelijk tienduizenden virtuele machines weg. Een contract dat je herkomstbewijs levert, levert ook een nieuwe afhankelijkheid op de plek waar je die het minst verwacht: in je buildpijplijn.

Daarmee verschuift er iets in het open source-model zelf. De code blijft gratis, het bewijs eromheen wordt een productlaag met een prijskaartje. Broadcom is niet de eerste die dat verkoopt, wel de eerste die het als een portfolio over Java, Python, Node.js en vier data-engines legt, precies in de periode waarin Europese regels de vraag naar dat bewijs vastleggen. Wie zijn afhankelijkheden nu al per product en per versie kan opsommen, koopt straks hooguit snelheid bij. Wie dat niet kan, koopt met een licentie het onderliggende probleem niet af.