LTM déploiera Devin de Cognition auprès de 260 clients et résorbera 80% du backlog de CVE

LTM et Cognition annoncent un partenariat : l'ingénieur IA Devin sera déployé dans la base clients mondiale de LTM, soit plus de 260 entreprises, dont 26 du Fortune 500 et cinq des plus grandes banques du monde. Le premier produit commun est BlueVerse RightLogic, un service managé indexé sur le résultat, qui traite les vulnérabilités accumulées. L'objectif affiché : clore 80% du backlog de CVE d'un client, alors que l'ancien dispositif de LTM atteignait 60%. Les deux entreprises confirment conjointement cette amélioration.

Le communiqué dresse un tableau sévère du contexte. Selon Cognition, les attaques assistées par IA ont triplé, et des sondes massives et bon marché testent chaque faille possible. Les équipes de sécurité reçoivent de 10 à 100 fois plus de constats qu'avant, et une bonne part d'entre eux sont des faux positifs. Les scanners habituels assurent la couverture, mais s'arrêtent à la détection. Ils passent à côté des chaînes d'exploits qui exigent de raisonner sur la logique métier, et laissent aux humains la vérification et la correction.

Comment fonctionne RightLogic

Le service repose sur Devin Security Swarm, un produit de Cognition. D'après la description de l'entreprise, il recherche les vulnérabilités critiques dans toute la base de code, vérifie leur exploitabilité au runtime et envoie une pull request avec le correctif. Cognition affirme que de grands clients trouvent déjà plus de vulnérabilités vérifiées avec cet outil et paient 30% de moins qu'avec l'alternative comparable la plus proche. Ces chiffres proviennent du fournisseur lui-même, et l'annonce ne contient aucune comparaison indépendante.

LTM transforme ces capacités en service managé reposant sur trois piliers :

• Correction managée. RightLogic récupère les constats des scanners que le client utilise déjà et les classe selon leur criticité pour l'activité et leur exposition réglementaire. Les correctifs jugés fiables sont confiés à Devin pour un traitement de bout en bout, tandis que les tâches complexes reviennent aux ingénieurs de LTM. Un humain relit chaque correctif avant la fusion.
• Échelle et gouvernance. Devin apporte une capacité autonome pour des dizaines de milliers de constats. LTM y ajoute ses playbooks de correction, ses règles de conformité, ses standards de code et son expertise sectorielle. Ses ingénieurs sont déjà formés au travail avec Devin.
• Capitalisation de l'expérience. Chaque projet affine les playbooks de LTM et consigne les exigences propres à chaque client. Les correctifs devraient donc aller plus vite, avec moins d'intervention humaine.

Paramètres clés :

• Base clients : 260+ entreprises, 26 du Fortune 500, 5 plus grandes banques mondiales
• Objectif sur le backlog : 80% des CVE, contre 60% auparavant
• Économie (selon Cognition) : 30% moins cher que l'alternative la plus proche
• Contrôle : relecture humaine avant chaque fusion
• Statut : premier des cinq produits communs

Pourquoi commencer par les banques

RightLogic démarre dans la banque, les services financiers et l'assurance. Selon les deux entreprises, Devin y a déjà fait ses preuves, et LTM dispose d'une expertise sectorielle approfondie. Le service, comme le reste du paquet d'offres communes, sera étendu plus tard à d'autres secteurs. Le portefeuille annoncé comprend la modernisation des applications et la transformation du cycle de vie du développement (SDLC).

La logique est claire. Les banques ont d'immenses bases de code, des régulateurs stricts et des files de vulnérabilités qu'aucune campagne de recrutement ne peut résorber. Gardner Johnson, de Cognition, résume ainsi : la sécurité est devenue un problème de volume qu'une équipe humaine ne résoudra pas par ses seuls effectifs. Harsh Naidu, de LTM, ajoute que le secteur financier doit à la fois renforcer sa protection et accélérer l'adoption de l'IA.

Que vérifier lors de l'évaluation

Pour les CISO et les responsables du développement, l'annonce sert de repère, mais il vaut mieux vérifier les chiffres sur ses propres données. Première question : comment est calculé précisément ce « 80% du backlog » : en nombre de CVE, en criticité, ou en vulnérabilités réellement exploitables dans votre environnement. Seconde question : quel est le taux de faux positifs après validation au runtime, et qui répond des régressions lorsqu'un correctif a passé la relecture mais a cassé le comportement du système.

Il est également utile de déterminer à l'avance quels droits l'agent obtiendra dans les dépôts et les environnements de test, comment sont tenus les journaux d'audit et comment le dispositif s'articule avec les exigences de votre régulateur. Un démarrage raisonnable consiste à lancer un pilote sur un seul produit dont le backlog est connu, puis à mesurer la part de PR acceptées, le délai entre la détection et la fusion, et la charge pesant sur les relecteurs. Si la relecture humaine devient le goulot d'étranglement, les 80% promis resteront sur le papier.