Cognition met à jour Devin Security : Claude Mythos et des centaines de millions de dollars de crédits

Cognition, l'entreprise derrière l'agent de programmation Devin, lance deux initiatives à destination des équipes de sécurité. La première est une mise à jour majeure de Devin Security, produit de bout en bout pour détecter, prioriser et corriger les vulnérabilités : il intègre désormais des scans approfondis sur Claude Mythos et d'autres cybermodèles de pointe. La seconde est l'engagement d'investir des centaines de millions de dollars en crédits Devin, afin que les entreprises puissent auditer leur code gratuitement et colmater les failles les plus dangereuses avant les attaquants.

L'idée est simple. L'IA rend les attaques sophistiquées moins coûteuses et réduit le temps de réaction des défenseurs, alors que les équipes de sécurité ont déjà plus de découvertes à traiter que d'ingénieurs capables de les corriger. Les scanners classiques attribuent un niveau de sévérité sans connaître ni la base de code, ni le mode de déploiement, ni les protections déjà en place. Ils surestiment certains risques et en sous-estiment d'autres, tandis que les échéances de conformité continuent de courir. Les ingénieurs perdent du temps sur des alertes douteuses et ne savent pas ce qui brûle réellement.

Le modèle de menaces comme document partagé

Devin Security repose sur un modèle de menaces « vivant », que le produit construit avec les équipes de sécurité et de développement. Il décrit les systèmes, les services et les hôtes, leurs interactions, les politiques réseau et les security groups, la manière dont le code est déployé et le code qui n'est pas utilisé du tout. Ce qui ne peut pas se déduire du code (la région où tourne un service, sa protection à l'intérieur du périmètre) est complété par un humain.

Devin pose aussi des questions sur les conséquences métier : que se passe-t-il si un utilisateur lit les données d'un autre, obtient des droits d'administrateur ou utilise le produit gratuitement ? Ces réponses alimentent elles aussi le modèle et évoluent avec le système.

Les scans, les investigations et les correctifs s'appuient sur ce modèle. Les scans approfondis ciblent les chaînes d'exploitation complexes dans les grandes bases de code. Le produit est indépendant du modèle (model-neutral) : Cognition construit un service managé unique, capable de brancher les meilleurs cybermodèles de différents laboratoires et de les remplacer au fil de leur évolution. Devin récupère en outre par API les découvertes des scanners existants, des programmes de bug bounty et des advisories, supprime les doublons et les revérifie avec des modèles de pointe.

Quatre façons de clore une découverte

Devin réévalue ensuite chaque découverte, la sienne ou celle d'un tiers, selon son exploitabilité et son impact potentiel dans l'environnement concerné. L'équipe voit ce qu'il faut corriger tout de suite, ce qui peut être planifié, et où un ajustement de risque documenté est approprié. Clore une découverte ne passe pas toujours par une pull request. Quatre options sont disponibles :

• Reclassification avec preuves. Devin documente les faux positifs ou propose un ajustement du risque en s'appuyant sur l'accessibilité, le contrôle d'accès et d'autres facteurs atténuants, et prépare les dossiers d'acceptation du risque. Chaque proposition requiert l'approbation d'un humain, et le score CVSS d'origine reste affiché à côté de la modification. Les vulnérabilités du catalogue KEV ne sont jamais reclassifiées.
• Mitigation dans l'infrastructure. Lorsque les droits nécessaires sont configurés, Devin applique une règle WAF, modifie un security group ou ferme l'accès public à un service. L'exposition diminue pendant la préparation du correctif définitif, mais la vulnérabilité elle-même subsiste.
• Correction de la vulnérabilité. Devin lance des milliers de sessions parallèles dans des machines virtuelles indépendantes. Chacune reproduit la vulnérabilité, écrit un correctif, exécute le test de reproduction ainsi que les tests existants, puis ouvre une PR accompagnée de preuves.
• Élimination d'une classe de vulnérabilités. Pour les défauts récurrents, Devin évalue un refactoring plus large et aide à le mettre en œuvre, par exemple centraliser les contrôles d'autorisation ou paramétrer les requêtes dans toute l'application.

Les résultats retournent dans les outils de sécurité existants, et les justificatifs peuvent être exportés vers les systèmes POA&M et GRC.

Agents cloud et des centaines de millions de dollars de crédits

Le socle technique est l'architecture cloud de Devin. Depuis plus de deux ans, il exécute des tâches d'ingénierie en parallèle, et chaque session dispose de sa propre machine virtuelle pour reproduire le problème, appliquer les modifications et les vérifier de façon indépendante. Grâce à cela, Cognition affirme pouvoir lancer simultanément des milliers de scans et de correctifs, sur de vrais services plutôt que par simple analyse statique.

Côté financier, les clients entreprise actuels et futurs reçoivent des scans gratuits avec des cybermodèles de pointe. Les nouveaux clients peuvent aussi obtenir des crédits pour corriger les vulnérabilités les plus critiques. L'équipe de Cognition promet de travailler aux côtés des clients pendant les phases d'investigation et de correction.

Pour les responsables sécurité, la conclusion est pratique. Avant d'adopter un tel outil, il faut évaluer si l'équipe est prête à entretenir un modèle de menaces partagé : la qualité de la priorisation dépend du contexte apporté par les humains. Il est utile de définir d'emblée quelles classes de correctifs sont autorisées sans relecture et lesquelles exigent une approbation, et de n'accorder à Devin que les droits d'infrastructure que vous êtes prêt à lui confier. Les scans gratuits offrent un moyen peu coûteux de comparer ses découvertes avec les résultats des scanners actuels, avant de laisser des correctifs automatiques arriver en production.