LTM implantará Devin de Cognition en 260 clientes con el objetivo de cerrar el 80% del backlog de CVE

LTM y Cognition han anunciado una alianza: el ingeniero de IA Devin se desplegará en la base global de clientes de LTM, que suma más de 260 empresas, entre ellas 26 de Fortune 500 y los cinco mayores bancos del mundo. El primer producto conjunto es BlueVerse RightLogic, un servicio gestionado vinculado a resultados que se encarga de las vulnerabilidades acumuladas. El objetivo declarado es cerrar el 80% del backlog de CVE del cliente, cuando con el esquema anterior de LTM se llegaba al 60%. Ambas compañías respaldan conjuntamente esa mejora.

El comunicado describe el contexto en términos duros. Según Cognition, los ataques que usan IA se han triplicado, y las sondas masivas y baratas tantean cada posible brecha. Mientras tanto, los equipos de seguridad reciben entre 10–100 veces más hallazgos que antes, y una parte considerable son falsos positivos. Los escáneres habituales aportan cobertura, pero se quedan en la detección. Pasan por alto las cadenas de exploits que exigen razonar sobre la lógica de negocio, y dejan la verificación y la corrección en manos de las personas.

Cómo funciona RightLogic

En el núcleo está Devin Security Swarm, un producto de Cognition. Según la descripción de la compañía, busca vulnerabilidades críticas en toda la base de código, comprueba si son explotables en tiempo de ejecución (runtime) y envía un pull request con la corrección. Cognition afirma que grandes clientes ya encuentran con él más vulnerabilidades verificadas y pagan un 30% menos que con la alternativa comparable más cercana. Son datos del propio proveedor, y el anuncio no incluye comparativas independientes.

LTM convierte estas capacidades en un servicio gestionado con tres pilares:

• Corrección gestionada. RightLogic recoge los hallazgos de los escáneres que el cliente ya usa y los prioriza según su criticidad para el negocio y su exposición regulatoria. Las correcciones de las que hay confianza pasan a Devin para su procesamiento de extremo a extremo, y los casos complejos los asumen ingenieros de LTM. Una persona revisa cada corrección antes de la fusión.
• Escala y gobernanza. Devin aporta capacidad autónoma para decenas de miles de hallazgos. LTM añade sus propios playbooks de corrección, reglas de cumplimiento normativo, estándares de código y experiencia sectorial. Sus ingenieros ya están formados en el trabajo con Devin.
• Acumulación de experiencia. Cada proyecto afina los playbooks de LTM y recoge los requisitos de cada cliente, por lo que las correcciones deberían ser más rápidas y requerir menos intervención humana.

Parámetros clave:

• Base de clientes: 260+ empresas, 26 de Fortune 500, top 5 de bancos globales
• Objetivo sobre el backlog: 80% de CVE frente al 60% anterior
• Economía (según Cognition): un 30% más barato que la alternativa más cercana
• Control: revisión humana antes de cada fusión
• Estado: primero de los cinco productos conjuntos

Por qué se empieza por los bancos

RightLogic arranca en banca, servicios financieros y seguros. Según las compañías, Devin ya ha dado buenos resultados en ese terreno y LTM cuenta con una profunda experiencia sectorial. Más adelante, el servicio y el resto del paquete de ofertas conjuntas se extenderán a otras industrias. El portafolio incluye la modernización de aplicaciones y la transformación del ciclo de vida del desarrollo (SDLC).

La lógica es clara. Los bancos manejan bases de código enormes, están sujetos a reguladores estrictos y acumulan colas de vulnerabilidades que no se pueden vaciar contratando personal. Gardner Johnson, de Cognition, lo plantea así: la seguridad se ha convertido en un problema de volumen que un equipo humano no resolverá solo con plantilla. Harsh Naidu, de LTM, añade que el sector financiero debe reforzar su protección y acelerar al mismo tiempo la adopción de IA.

Qué verificar al evaluarlo

Para los CISO y los responsables de desarrollo, el anuncio sirve como referencia, pero conviene contrastar las cifras con datos propios. La primera pregunta es cómo se calcula exactamente el «80% del backlog»: por número de CVE, por criticidad o por las vulnerabilidades realmente explotables en su entorno. La segunda: cuál es la proporción de falsos positivos tras la validación en tiempo de ejecución y quién responde de las regresiones si una corrección pasó la revisión pero rompió el comportamiento del sistema.

Conviene averiguar de antemano qué permisos tendrá el agente en los repositorios y los entornos de prueba, cómo se llevan los registros de auditoría y cómo encaja el esquema en los requisitos de su regulador. Un arranque razonable es un piloto sobre un solo producto con un backlog conocido, en el que se mida la proporción de PR aceptados, el tiempo entre el hallazgo y la fusión y la carga de los revisores. Si la revisión humana se convierte en un cuello de botella, el 80% prometido quedará solo sobre el papel.