LTM vai implantar o Devin, da Cognition, para 260 clientes e quer zerar 80% do backlog de CVEs

LTM e Cognition anunciaram uma parceria: o engenheiro de IA Devin será implantado na base global de clientes da LTM, que reúne mais de 260 empresas, incluindo 26 da Fortune 500 e os cinco maiores bancos do mundo. O primeiro produto conjunto é o BlueVerse RightLogic, um serviço gerenciado com pagamento atrelado a resultado, que trata o acúmulo de vulnerabilidades. A meta declarada é fechar 80% do backlog de CVEs do cliente, enquanto no modelo anterior da LTM o índice era de 60%. As duas empresas confirmam a melhora em conjunto.

O contexto descrito no comunicado é duro. Segundo a Cognition, os ataques com uso de IA triplicaram, e sondagens baratas e em massa testam cada brecha possível. Ao mesmo tempo, as equipes de segurança recebem de 10 a 100 vezes mais achados do que antes, e boa parte deles são falsos positivos. Os scanners tradicionais oferecem cobertura, mas param na detecção. Eles deixam passar cadeias de exploits que exigem raciocínio sobre lógica de negócio e deixam a validação e a correção nas mãos das pessoas.

Como funciona o RightLogic

Por baixo dos panos está o Devin Security Swarm, produto da Cognition. Pela descrição da empresa, ele procura vulnerabilidades críticas em toda a base de código, verifica se são exploráveis em runtime e envia um pull request com a correção. A Cognition afirma que grandes clientes já encontram mais vulnerabilidades verificadas com a ferramenta e pagam 30% menos do que na alternativa comparável mais próxima. São dados do próprio fornecedor, e o anúncio não traz comparações independentes.

A LTM transforma esses recursos em um serviço gerenciado com três pilares:

• Correção gerenciada. O RightLogic coleta os achados dos scanners que o cliente já usa e os classifica por criticidade para o negócio e exposição regulatória. As correções de alta confiança vão para o Devin, que as processa de ponta a ponta, enquanto as tarefas complexas ficam com engenheiros da LTM. Cada correção é revisada por uma pessoa antes do merge.
• Escala e governança. O Devin fornece capacidade autônoma para dezenas de milhares de achados. A LTM acrescenta seus playbooks de correção, regras de compliance, padrões de código e conhecimento setorial. Os engenheiros já foram treinados para trabalhar com o Devin.
• Acúmulo de experiência. Cada projeto refina os playbooks da LTM e registra os requisitos de cada cliente, e por isso as correções devem ficar mais rápidas e exigir menos participação humana.

Principais parâmetros:

• Base de clientes: 260+ empresas, 26 da Fortune 500, top 5 bancos globais
• Meta para o backlog: 80% dos CVEs, contra 60% antes
• Economia (segundo a Cognition): 30% mais barato que a alternativa mais próxima
• Controle: revisão humana antes de cada merge
• Status: primeiro de cinco produtos conjuntos

Por que começar pelos bancos

O RightLogic estreia nos setores bancário, de serviços financeiros e de seguros. Segundo as empresas, o Devin já teve bom desempenho nesses segmentos, e a LTM tem profundo conhecimento do setor. Mais adiante, o serviço e o restante do pacote de ofertas conjuntas serão estendidos a outras indústrias. O portfólio inclui modernização de aplicações e transformação do ciclo de vida de desenvolvimento (SDLC).

A lógica é clara. Os bancos têm bases de código enormes, reguladores rigorosos e filas de vulnerabilidades que não dá para zerar contratando gente. Gardner Johnson, da Cognition, resume assim: a segurança virou um problema de volume, que uma equipe humana não resolve só aumentando o quadro. Harsh Naidu, da LTM, acrescenta que o setor financeiro precisa, ao mesmo tempo, reforçar a proteção e acelerar a adoção de IA.

O que verificar na avaliação

Para CISOs e líderes de desenvolvimento, o anúncio serve como referência, mas os números devem ser checados com dados próprios. A primeira pergunta é como exatamente se calculam os "80% do backlog": por número de CVEs, por criticidade ou por vulnerabilidades realmente exploráveis no seu ambiente. A segunda é qual a taxa de falsos positivos após a validação em runtime e quem responde pelas regressões se uma correção passar na revisão, mas quebrar o comportamento do sistema.

Vale descobrir de antemão quais permissões o agente terá nos repositórios e nos ambientes de teste, como são mantidos os logs de auditoria e como o modelo se encaixa nas exigências do seu regulador. Um começo sensato é um piloto em um produto com backlog conhecido, medindo a proporção de PRs aceitos, o tempo entre o achado e o merge e a carga sobre os revisores. Se a revisão humana virar o gargalo, os 80% prometidos ficarão só no papel.