Cognition atualiza o Devin Security com Claude Mythos e centenas de milhões de dólares em créditos

A Cognition, empresa por trás do agente de programação Devin, lançou duas iniciativas para equipes de segurança. A primeira é uma grande atualização do Devin Security, produto para encontrar, priorizar e corrigir vulnerabilidades de ponta a ponta: agora ele conta com varreduras profundas com Claude Mythos e outros modelos de ponta voltados à cibersegurança. A segunda é a promessa de investir centenas de milhões de dólares em créditos do Devin, para que empresas possam analisar seu código sem custo e fechar as brechas mais perigosas antes dos atacantes.

A ideia é simples. A IA barateia ataques sofisticados e reduz o tempo de reação dos defensores, enquanto as equipes de segurança já têm mais descobertas do que engenheiros para corrigi-las. Os scanners tradicionais atribuem severidade sem conhecer a base de código, a forma de deploy nem as proteções já existentes. Eles superestimam alguns riscos e subestimam outros, e os prazos de compliance continuam correndo. Os engenheiros gastam tempo com descobertas duvidosas e não sabem o que realmente está pegando fogo.

Modelo de ameaças como documento compartilhado

O Devin Security se apoia em um modelo de ameaças "vivo", que o produto constrói junto com as equipes de segurança e de desenvolvimento. Ele descreve sistemas, serviços e hosts, a interação entre eles, políticas de rede e security groups, a forma de deploy do código e qual código nem sequer está em uso. O que não dá para inferir a partir do código (em que região o serviço roda, se ele fica dentro do perímetro) é complementado por uma pessoa.

O Devin também pergunta sobre as consequências para o negócio: o que acontece se um usuário ler dados de outro, obtiver privilégios de administrador ou passar a usar o produto de graça. Essas respostas também entram no modelo e mudam junto com o sistema.

É com base nesse modelo que rodam as varreduras, as investigações e as correções. As varreduras profundas miram cadeias de exploits complexas em bases de código grandes. O produto é model-neutral: a Cognition mantém um único serviço gerenciado, que pode conectar os melhores modelos de cibersegurança de diferentes laboratórios e trocá-los conforme a evolução do mercado. Além disso, o Devin coleta por API as descobertas de scanners já existentes, de programas de bug bounty e de advisories, remove duplicatas e as revalida com modelos de ponta.

Quatro formas de encerrar uma descoberta

Em seguida, o Devin reavalia cada descoberta, própria ou de terceiros, por explorabilidade e dano potencial no ambiente específico. A equipe vê o que corrigir agora, o que pode ser planejado e onde cabe um ajuste de risco documentado. Encerrar uma descoberta nem sempre significa abrir um pull request. Há quatro opções:

• Reclassificação com evidências. O Devin documenta falsos positivos ou propõe um ajuste de risco com base em alcançabilidade, controle de acesso e outros fatores de mitigação, e prepara os registros de aceitação de risco. Toda proposta exige aprovação humana, e a pontuação CVSS original permanece ao lado da alteração. Vulnerabilidades do catálogo KEV nunca são reclassificadas.
• Mitigação na infraestrutura. Com as permissões configuradas, o Devin aplica uma regra de WAF, altera um security group ou fecha o acesso público a um serviço. A exposição diminui enquanto a correção definitiva é preparada, mas a vulnerabilidade em si continua lá.
• Correção da vulnerabilidade. O Devin abre milhares de sessões paralelas em máquinas virtuais independentes. Cada uma reproduz a vulnerabilidade, escreve a correção, executa o teste de reprodução e os testes existentes e abre um PR com as evidências.
• Eliminação de uma classe de vulnerabilidades. Para defeitos recorrentes, o Devin avalia e ajuda a implementar uma refatoração mais ampla, como centralizar as verificações de autorização ou parametrizar as consultas em todo o aplicativo.

Os resultados voltam para as ferramentas de segurança existentes, e os registros comprobatórios podem ser exportados para sistemas de POA&M e GRC.

Agentes na nuvem e centenas de milhões em créditos

A base técnica é a arquitetura em nuvem do Devin. Há mais de dois anos, ele executa trabalho de engenharia em paralelo, e cada sessão tem sua própria máquina virtual para reproduzir o problema, fazer as alterações e validar de forma independente. Por isso, a Cognition afirma ser possível rodar milhares de varreduras e correções ao mesmo tempo, em serviços reais, e não apenas com análise estática.

Na parte financeira, clientes corporativos atuais e futuros recebem varreduras gratuitas com modelos de ponta de cibersegurança. Clientes novos também podem obter créditos para corrigir as vulnerabilidades mais críticas. A equipe da Cognition promete trabalhar ao lado dos clientes nas etapas de investigação e correção.

Para líderes de segurança, a conclusão é prática. Antes de adotar uma ferramenta assim, vale avaliar se a equipe está pronta para manter um modelo de ameaças compartilhado: a qualidade da priorização depende do contexto que as pessoas fornecem. Também é útil definir desde o início quais classes de alteração são permitidas sem revisão e quais exigem aprovação, e conceder ao Devin exatamente as permissões de infraestrutura que você está disposto a confiar a ele. As varreduras gratuitas oferecem um jeito barato de comparar as descobertas do Devin com o resultado dos scanners atuais, antes de liberar correções automáticas em produção.