LTM ستطرح Devin من Cognition لدى 260 عميلًا وتستهدف إغلاق 80% من متراكم CVE

أعلنت LTM وCognition عن شراكة يُنشر بموجبها مهندس الذكاء الاصطناعي Devin لدى قاعدة عملاء LTM العالمية، وهي تضم أكثر من 260 شركة، بينها 26 شركة من قائمة Fortune 500 وأكبر خمسة بنوك في العالم. وكان أول منتج مشترك هو BlueVerse RightLogic، وهي خدمة مُدارة مرتبطة بالنتائج تعالج الثغرات الأمنية المتراكمة. والهدف المعلن هو إغلاق 80% من متراكم CVE لدى العميل، في حين كانت النسبة بالآلية السابقة لدى LTM 60%. وتؤكد الشركتان هذا التحسّن بشكل مشترك.

ويصف البيان الصحفي السياق بلهجة صارمة. فبحسب Cognition، تضاعفت الهجمات التي تستخدم الذكاء الاصطناعي ثلاث مرات، وباتت أدوات الفحص الجماعي الرخيصة تختبر كل ثغرة محتملة. وفي المقابل، تتلقى فرق الأمن نتائج أكثر بما يتراوح بين 10 و100 مرة مما كان عليه الحال سابقًا، ويتبيّن أن جزءًا كبيرًا منها إنذارات كاذبة. أما الماسحات المعتادة فتوفّر تغطية، لكنها تتوقف عند مرحلة الاكتشاف. فهي تغفل سلاسل الاستغلال التي يتطلب كشفها التفكير في منطق الأعمال، وتترك التحقق والإصلاح للبشر.

كيف تعمل RightLogic

يقوم المنتج في أساسه على Devin Security Swarm، وهو منتج من Cognition. وبحسب وصف الشركة، يبحث عن الثغرات الحرجة في قاعدة الشيفرة بأكملها، ويتحقق من قابليتها للاستغلال في وقت التشغيل، ثم يرسل pull request يتضمن الإصلاح. وتزعم Cognition أن كبار العملاء يعثرون بواسطته على عدد أكبر من الثغرات الموثَّقة، ويدفعون 30% أقل مما يدفعونه للبديل المماثل الأقرب. وهذه بيانات من المورّد نفسه، ولا يتضمن الإعلان أي مقارنات مستقلة.

وتحوّل LTM هذه القدرات إلى خدمة مُدارة ترتكز على ثلاثة أعمدة:

• الإصلاح المُدار. تأخذ RightLogic النتائج من الماسحات التي يستخدمها العميل أصلًا، وترتّبها بحسب أهميتها للأعمال والتعرّض التنظيمي. وتُحال الإصلاحات الموثوقة إلى Devin لمعالجتها من البداية إلى النهاية، بينما يتولى مهندسو LTM المهام المعقدة. ويراجع إنسانٌ كل إصلاح قبل الدمج.
• النطاق والحوكمة. يوفّر Devin قدرة مستقلة للتعامل مع عشرات الآلاف من النتائج. وتضيف LTM كتيبات الإصلاح الخاصة بها وقواعد الامتثال ومعايير البرمجة والخبرة القطاعية. والمهندسون مدرَّبون بالفعل على العمل مع Devin.
• تراكم الخبرة. يُحسّن كل مشروع كتيبات LTM ويسجّل متطلبات العميل المعني، ولذلك يُفترض أن تصبح الإصلاحات أسرع وبمشاركة بشرية أقل.

المعطيات الرئيسية:

• قاعدة العملاء: أكثر من 260 شركة، و26 منها من Fortune 500، وأكبر 5 بنوك عالمية
• الهدف من المتراكم: 80% من CVE مقابل 60% سابقًا
• الجدوى الاقتصادية (بحسب Cognition): أرخص بنسبة 30% من أقرب بديل
• الرقابة: مراجعة بشرية قبل كل عملية دمج
• الحالة: أول منتج من خمسة منتجات مشتركة

لماذا البداية من البنوك

تنطلق RightLogic من القطاع المصرفي والخدمات المالية والتأمين. وبحسب الشركتين، أثبت Devin أداءً جيدًا هناك بالفعل، ولدى LTM خبرة قطاعية عميقة. وسيجري لاحقًا توسيع الخدمة وبقية حزمة العروض المشتركة لتشمل قطاعات أخرى. ويشمل المحفظة المعلنة تحديث التطبيقات وتحويل دورة حياة تطوير البرمجيات (SDLC).

والمنطق واضح. فالبنوك لديها قواعد شيفرة ضخمة وجهات تنظيمية صارمة وطوابير ثغرات لا يمكن إغلاقها بالتوظيف. ويصوغ Gardner Johnson من Cognition الأمر هكذا: أصبح الأمن مشكلة حجم لا يمكن لفريق بشري أن يحلّها بزيادة عدد الموظفين. ويضيف Harsh Naidu من LTM أن على القطاع المالي في الوقت نفسه أن يعزّز الحماية وأن يسرّع تبنّي الذكاء الاصطناعي.

ما الذي يجب التحقق منه عند التقييم

بالنسبة إلى CISO ومديري التطوير، يفيد الإعلان كمؤشر استرشادي، لكن من الأفضل التحقق من الأرقام على بياناتكم الخاصة. السؤال الأول: كيف تُحتسب نسبة «80% من المتراكم» تحديدًا، هل بعدد CVE، أم بحسب الخطورة، أم بالثغرات التي يمكن استغلالها فعليًا في بيئتكم. والسؤال الثاني: ما نسبة الإنذارات الكاذبة بعد التحقق في وقت التشغيل، ومن يتحمل مسؤولية حالات التراجع (regressions) إذا اجتاز الإصلاح المراجعة لكنه أفسد سلوك النظام.

ويُستحسن أن تعرفوا مسبقًا ما الصلاحيات التي سيحصل عليها الوكيل في المستودعات وبيئات الاختبار، وكيف تُدار سجلات التدقيق، وكيف يتوافق النموذج مع متطلبات الجهة التنظيمية لديكم. والبداية المعقولة هي مشروع تجريبي على منتج واحد ذي متراكم معروف، تُقاس فيه نسبة طلبات PR المقبولة، والزمن من الاكتشاف إلى الدمج، والعبء على المراجعين. وإذا تحولت المراجعة البشرية إلى عنق زجاجة، فستبقى نسبة 80% الموعودة حبرًا على ورق.