Cognition actualiza Devin Security: Claude Mythos y cientos de millones en créditos

Cognition, la compañía que desarrolla el agente programador Devin, ha lanzado a la vez dos iniciativas para equipos de seguridad. La primera es una actualización importante de Devin Security, un producto para buscar, priorizar y corregir vulnerabilidades de principio a fin: ahora incorpora escaneos profundos con Claude Mythos y otros cibermodelos de frontera. La segunda es la promesa de invertir cientos de millones de dólares en créditos de Devin para que las empresas revisen su código sin coste y cierren las brechas más peligrosas antes que los atacantes.

La idea es sencilla. La IA abarata los ataques complejos y reduce el tiempo de reacción de los defensores, mientras que los equipos de seguridad ya tienen más hallazgos que ingenieros capaces de resolverlos. Los escáneres clásicos asignan una severidad sin conocer la base de código, la forma de despliegue ni las defensas que ya existen. Sobrestiman unos riesgos y subestiman otros, y los plazos de cumplimiento normativo siguen corriendo. Los ingenieros pierden tiempo con hallazgos dudosos y no saben qué es realmente urgente.

El modelo de amenazas como documento compartido

Devin Security se apoya en un modelo de amenazas «vivo», que el producto construye junto con los equipos de seguridad y de desarrollo. El modelo describe sistemas, servicios y hosts, cómo interactúan, las políticas de red y los security groups, cómo se despliega el código y qué código no se usa en absoluto. Lo que no puede deducirse del código, como la región en la que opera un servicio o si está protegido dentro del perímetro, lo añade una persona.

Devin también pregunta por las consecuencias para el negocio: qué ocurriría si un usuario leyera datos ajenos, obtuviera permisos de administrador o empezara a usar el producto gratis. Esas respuestas también pasan al modelo y cambian a medida que evoluciona el sistema.

Sobre este modelo se ejecutan los escaneos, las investigaciones y las correcciones. Los escaneos profundos se orientan a cadenas de exploits complejas en bases de código grandes. El producto es model-neutral: Cognition construye un único servicio gestionado que puede conectar los mejores cibermodelos de distintos laboratorios y sustituirlos a medida que avanzan. Además, Devin recoge por API los hallazgos de escáneres existentes, programas de bug bounty y advisories, elimina duplicados y los vuelve a verificar con modelos de frontera.

Cuatro formas de cerrar un hallazgo

Después, Devin reevalúa cada hallazgo, propio o ajeno, según su explotabilidad y su daño potencial en el entorno concreto. El equipo ve qué conviene corregir ahora, qué puede planificarse y dónde procede un ajuste de riesgo documentado. Cerrar un hallazgo no siempre implica un pull request. Hay cuatro opciones:

• Reclasificación con pruebas. Devin documenta los falsos positivos o propone un ajuste de riesgo basado en la alcanzabilidad, el control de acceso y otros factores atenuantes, y prepara los registros de aceptación de riesgo. Cada propuesta requiere la aprobación de una persona, y la puntuación CVSS original se conserva junto al cambio. Las vulnerabilidades del catálogo KEV nunca se reclasifican.
• Mitigación en la infraestructura. Con los permisos configurados, Devin aplica una regla de WAF, modifica un security group o cierra el acceso público a un servicio. La exposición se reduce mientras se prepara la corrección definitiva, pero la vulnerabilidad en sí sigue ahí.
• Corrección de la vulnerabilidad. Devin lanza miles de sesiones paralelas en máquinas virtuales independientes. Cada una reproduce la vulnerabilidad, escribe el arreglo, ejecuta la prueba de reproducción y las pruebas existentes, y abre un PR con evidencias.
• Eliminación de la clase de vulnerabilidad. Para defectos recurrentes, Devin evalúa y ayuda a implementar un refactor más amplio, por ejemplo centralizar las comprobaciones de autorización o parametrizar las consultas en toda la aplicación.

Los resultados vuelven a las herramientas de seguridad existentes, y los registros de respaldo pueden exportarse a sistemas POA&M y GRC.

Agentes en la nube y créditos por cientos de millones

La base técnica es la arquitectura en la nube de Devin. Desde hace más de dos años ejecuta trabajo de ingeniería en paralelo, y cada sesión tiene su propia máquina virtual para reproducir el problema, aplicar cambios y verificarlos de forma independiente. Gracias a ello, Cognition afirma que puede lanzar miles de escaneos y correcciones a la vez, sobre servicios reales y no mediante análisis estático.

En cuanto a la parte financiera, los clientes corporativos actuales y futuros reciben escaneos gratuitos con cibermodelos de frontera. Los clientes nuevos también pueden obtener créditos para resolver las vulnerabilidades más críticas. El equipo de Cognition promete trabajar junto a los clientes en las fases de investigación y corrección.

Para los responsables de seguridad, la conclusión es práctica. Antes de adoptar una herramienta así, conviene valorar si el equipo está dispuesto a mantener un modelo de amenazas compartido: la calidad de la priorización depende del contexto que aportan las personas. Es útil definir desde el principio qué clases de cambios se permiten sin revisión y cuáles requieren aprobación, y darle a Devin exactamente los permisos de infraestructura que estén dispuestos a confiarle. Los escaneos gratuitos ofrecen una forma económica de comparar sus hallazgos con los resultados de los escáneres actuales antes de dejar que las correcciones automáticas lleguen a producción.