Cohere покупает стартап AISLE, нашедший 500+ уязвимостей с CVE за год

Cohere объявила о предложенной сделке по покупке AISLE, основанной в 2025 году компании, которая делает автономные системы для поиска и исправления неизвестных уязвимостей в критическом ПО. Формально в заголовке анонса фигурирует письмо о намерениях, а в тексте речь идёт о «proposed agreement to acquire», то есть сделка ещё не закрыта. Цена, структура и сроки не раскрываются. Зато цифры AISLE впечатляют: за первый год более 500 уязвимостей с присвоенными CVE в 100+ кодовых базах.

Что показала AISLE за первый год

Главный аргумент Cohere — боевые результаты, а не демо на синтетических бенчмарках. По данным компании, система нашла все 12 уязвимостей, закрытых в январском релизе безопасности OpenSSL, и 18 из 24 CVE в последнем релизе curl. Оба проекта входят в базовый слой интернета, и их мейнтейнеры известны строгим отношением к отчётам. По утверждению Cohere, находки независимо проверяли сами мейнтейнеры.

Подход AISLE описан как связка нескольких компонентов: растущие по возможностям фундаментальные модели, экспертиза в безопасности, крупномасштабный анализ кода, жёсткая валидация и автоматизированное исправление. Валидация здесь ключевое слово. Шум в отчётах об уязвимостях, сгенерированных моделями, давно раздражает разработчиков open source, а система, чьи находки принимают и присваивают им CVE, решает именно эту проблему.

Коротко по метрикам из анонса:

• возраст компании: основана в 2025 году;
• более 500 ранее неизвестных уязвимостей с CVE;
• более 100 кодовых баз;
• 12 из 12 уязвимостей в январском релизе OpenSSL;
• 18 из 24 CVE в последнем релизе curl.

Зачем это Cohere

Cohere последовательно позиционирует себя как поставщика суверенного ИИ для корпоративных и государственных клиентов, а не как конкурента потребительским чат-ботам. Развёртывание в private cloud, on-prem и полностью изолированных (air-gapped) средах — основа этого предложения. Для таких заказчиков безопасность определяет, дойдёт ли проект из пилота в продакшен.

Покупка AISLE продолжает европейскую линию: ранее Cohere приобрела Reliant AI и заключила партнёрство с Aleph Alpha. Теперь к ним добавилась компания с экспертизой в кибербезопасности. Для регулируемых отраслей и госсектора Европы сочетание локального контроля над данными и собственной команды по безопасности выглядит логичным пакетом.

Есть и исследовательский мотив. Cohere пишет, что возможности базовой модели и специализированной системы вокруг неё усиливают друг друга. Если сблизить автономные исследования уязвимостей с разработкой и обучением моделей, сложные и проверяемые задачи безопасности могут стать способом оценивать и улучшать будущие модели. Поиск уязвимости как раз даёт однозначный результат: либо CVE подтверждён, либо нет. Это редкий для кодинга сигнал без субъективной оценки.

Что получат клиенты и за чем следить

Cohere обещает пять направлений усиления, и все они пока заявлены как ожидаемые, а не готовые:

• продвинутое обнаружение угроз для корпоративных и государственных развёртываний;
• governance, мониторинг и наблюдаемость для AI-агентов и автономных процессов;
• защита чувствительных данных и критичных систем;
• безопасные развёртывания в private cloud, on-prem и air-gapped;
• киберустойчивые системы, способные выявлять, приоритизировать угрозы и реагировать на них.

Практически это означает следующее. Командам, которые выбирают платформу для агентов в регулируемой среде, стоит дождаться закрытия сделки и запросить конкретику: войдёт ли поиск уязвимостей в коммерческий продукт или останется внутренним исследовательским инструментом, как будут подключаться агентные функции мониторинга, работает ли всё это без выхода в интернет. Мейнтейнерам open source полезно следить, сохранит ли AISLE нынешний процесс раскрытия и валидации после поглощения. А тем, кто строит собственные агентные пайплайны, пример AISLE подсказывает метрику: считать не количество отчётов, а число подтверждённых и принятых CVE.