Cohere compra AISLE, la startup que encontró más de 500 vulnerabilidades con CVE en un año

Cohere ha anunciado una propuesta de compra de AISLE, una compañía fundada en 2025 que desarrolla sistemas autónomos para encontrar y corregir vulnerabilidades desconocidas en software crítico. Formalmente, el titular del anuncio habla de una carta de intenciones, mientras que el texto menciona un «proposed agreement to acquire», es decir, la operación aún no está cerrada. No se revelan el precio, la estructura ni los plazos. Las cifras de AISLE, en cambio, impresionan: en su primer año, más de 500 vulnerabilidades con CVE asignado en más de 100 bases de código.

Qué ha mostrado AISLE en su primer año

El argumento principal de Cohere son los resultados reales, no una demo sobre benchmarks sintéticos. Según la compañía, el sistema encontró las 12 vulnerabilidades corregidas en la versión de seguridad de enero de OpenSSL y 18 de los 24 CVE de la última versión de curl. Ambos proyectos forman parte de la capa base de internet, y sus mantenedores tienen fama de ser estrictos con los informes que reciben. Cohere afirma que los propios mantenedores verificaron los hallazgos de forma independiente.

El enfoque de AISLE se describe como una combinación de varios componentes: modelos fundacionales cada vez más capaces, experiencia en seguridad, análisis de código a gran escala, validación rigurosa y corrección automatizada. La validación es aquí la palabra clave. El ruido de los informes de vulnerabilidades generados por modelos irrita desde hace tiempo a los desarrolladores de código abierto, y un sistema cuyos hallazgos se aceptan y reciben un CVE resuelve justamente ese problema.

Las métricas del anuncio, en resumen:

• antigüedad de la compañía: fundada en 2025;
• más de 500 vulnerabilidades desconocidas hasta entonces, con CVE;
• más de 100 bases de código;
• 12 de 12 vulnerabilidades en la versión de enero de OpenSSL;
• 18 de 24 CVE en la última versión de curl.

Por qué le interesa a Cohere

Cohere se posiciona de forma sistemática como proveedor de IA soberana para clientes corporativos y gubernamentales, y no como competidora de los chatbots de consumo. El despliegue en private cloud, on-prem y entornos totalmente aislados (air-gapped) es la base de esa oferta. Para estos clientes, la seguridad determina si un proyecto pasa del piloto a producción.

La compra de AISLE continúa la línea europea: Cohere ya adquirió Reliant AI y firmó una alianza con Aleph Alpha. Ahora se suma una compañía con experiencia en ciberseguridad. Para los sectores regulados y la administración pública europea, la combinación de control local de los datos y un equipo propio de seguridad parece un paquete lógico.

Hay también una motivación de investigación. Cohere sostiene que las capacidades del modelo base y las del sistema especializado construido a su alrededor se refuerzan mutuamente. Si se acerca la investigación autónoma de vulnerabilidades al desarrollo y entrenamiento de modelos, las tareas de seguridad, complejas y verificables, podrían servir para evaluar y mejorar los modelos futuros. La búsqueda de vulnerabilidades ofrece justo un resultado inequívoco: o el CVE se confirma, o no. Es una señal poco habitual en programación, sin valoración subjetiva.

Qué obtendrán los clientes y qué vigilar

Cohere promete cinco líneas de refuerzo, y todas se presentan por ahora como previstas, no como listas:

• detección avanzada de amenazas para despliegues corporativos y gubernamentales;
• gobernanza (governance), monitorización y observabilidad para agentes de IA y procesos autónomos;
• protección de datos sensibles y sistemas críticos;
• despliegues seguros en private cloud, on-prem y air-gapped;
• sistemas ciberresilientes, capaces de identificar y priorizar amenazas y de responder a ellas.

En la práctica, esto significa lo siguiente. Los equipos que elijan una plataforma de agentes en un entorno regulado deberían esperar al cierre de la operación y pedir detalles concretos: si la búsqueda de vulnerabilidades pasará a formar parte de un producto comercial o seguirá siendo una herramienta interna de investigación, cómo se integrarán las funciones agénticas de monitorización y si todo esto funciona sin acceso a internet. A los mantenedores de código abierto les conviene comprobar si AISLE conservará su actual proceso de divulgación y validación tras la adquisición. Y a quienes construyen sus propios pipelines agénticos, el caso de AISLE les sugiere una métrica: no contar el número de informes, sino el de CVE confirmados y aceptados.