Cohere compra a AISLE, startup que encontrou mais de 500 vulnerabilidades com CVE em um ano

A Cohere anunciou a proposta de compra da AISLE, empresa fundada em 2025 que desenvolve sistemas autônomos para encontrar e corrigir vulnerabilidades desconhecidas em software crítico. Formalmente, o título do anúncio menciona uma carta de intenções, enquanto o texto fala em “proposed agreement to acquire”, ou seja, a transação ainda não foi fechada. Preço, estrutura e prazos não foram divulgados. Os números da AISLE, porém, impressionam: no primeiro ano, mais de 500 vulnerabilidades com CVE atribuído em 100+ bases de código.

O que a AISLE mostrou no primeiro ano

O principal argumento da Cohere são resultados reais, e não demos em benchmarks sintéticos. Segundo a empresa, o sistema encontrou todas as 12 vulnerabilidades corrigidas na versão de segurança de janeiro do OpenSSL e 18 dos 24 CVEs da versão mais recente do curl. Os dois projetos fazem parte da camada básica da internet, e seus mantenedores são conhecidos pelo rigor com que tratam relatórios. A Cohere afirma que os próprios mantenedores verificaram as descobertas de forma independente.

A abordagem da AISLE combina vários componentes: modelos de fundação cada vez mais capazes, expertise em segurança, análise de código em larga escala, validação rigorosa e correção automatizada. Validação é a palavra-chave aqui. O ruído nos relatórios de vulnerabilidades gerados por modelos há tempos irrita os desenvolvedores de open source, e um sistema cujas descobertas são aceitas e recebem CVE resolve justamente esse problema.

Resumo das métricas do anúncio:

• idade da empresa: fundada em 2025;
• mais de 500 vulnerabilidades inéditas com CVE;
• mais de 100 bases de código;
• 12 de 12 vulnerabilidades na versão de janeiro do OpenSSL;
• 18 de 24 CVEs na versão mais recente do curl.

Por que a AISLE interessa à Cohere

A Cohere se posiciona de forma consistente como fornecedora de IA soberana para clientes corporativos e governamentais, e não como concorrente dos chatbots de consumo. A implantação em private cloud, on-prem e em ambientes totalmente isolados (air-gapped) é a base dessa oferta. Para esses clientes, a segurança determina se um projeto sai do piloto e chega à produção.

A compra da AISLE segue a linha europeia da empresa: antes, a Cohere adquiriu a Reliant AI e fechou parceria com a Aleph Alpha. Agora entra na lista uma empresa com expertise em cibersegurança. Para setores regulados e para o setor público europeu, a combinação de controle local sobre os dados com uma equipe própria de segurança parece um pacote lógico.

Há também uma motivação de pesquisa. A Cohere afirma que as capacidades do modelo base e do sistema especializado construído em torno dele se reforçam mutuamente. Aproximar a pesquisa autônoma de vulnerabilidades do desenvolvimento e do treinamento de modelos pode transformar tarefas de segurança complexas e verificáveis em uma forma de avaliar e melhorar os modelos futuros. A busca por vulnerabilidades tem um resultado inequívoco: o CVE é confirmado ou não é. Em programação, é um sinal raro, sem avaliação subjetiva.

O que os clientes ganham e o que acompanhar

A Cohere promete cinco frentes de reforço, e todas ainda são apresentadas como expectativa, não como produto pronto:

• detecção avançada de ameaças para implantações corporativas e governamentais;
• governança, monitoramento e observabilidade para agentes de IA e processos autônomos;
• proteção de dados sensíveis e sistemas críticos;
• implantações seguras em private cloud, on-prem e air-gapped;
• sistemas ciberresilientes, capazes de identificar e priorizar ameaças e reagir a elas.

Na prática, isso significa o seguinte. Equipes que escolhem uma plataforma de agentes para um ambiente regulado devem esperar o fechamento da transação e pedir detalhes: se a busca por vulnerabilidades fará parte de um produto comercial ou continuará como ferramenta interna de pesquisa, como as funções de monitoramento de agentes serão integradas e se tudo isso funciona sem acesso à internet. Para os mantenedores de open source, vale observar se a AISLE manterá o processo atual de divulgação e validação depois da aquisição. E para quem constrói seus próprios pipelines de agentes, o exemplo da AISLE sugere uma métrica: contar não o número de relatórios, mas o de CVEs confirmados e aceitos.