Cognition обновила Devin Security: Claude Mythos и сотни миллионов в кредитах

Cognition, компания за агентом-программистом Devin, запустила сразу две инициативы для команд безопасности. Первая — крупное обновление Devin Security, продукта для сквозного поиска, приоритизации и исправления уязвимостей: теперь в нём есть глубокие сканы на Claude Mythos и других передовых кибермоделях. Вторая — обещание вложить сотни миллионов долларов в кредиты Devin, чтобы предприятия бесплатно проверили код и закрыли самые опасные дыры раньше атакующих.

Идея простая. ИИ удешевляет сложные атаки и сокращает защитникам время на реакцию, а у security-команд находок уже больше, чем инженеров, способных их чинить. Классические сканеры расставляют severity, не зная ни кодовой базы, ни способа деплоя, ни уже стоящих защит. Одни риски они завышают, другие занижают, а дедлайны по комплаенсу при этом всё равно тикают. Инженеры тратят время на сомнительные находки и не понимают, что горит на самом деле.

Модель угроз как общий документ

В основе Devin Security лежит «живая» модель угроз, которую продукт строит вместе с командами безопасности и разработки. Она описывает системы, сервисы и хосты, их взаимодействие, сетевые политики и security groups, способ деплоя кода и то, какой код вообще не используется. Что нельзя вывести из кода (в каком регионе работает сервис, закрыт ли он внутри периметра), дописывает человек. Devin также спрашивает про бизнес-последствия: что будет, если один пользователь прочитает чужие данные, получит права администратора или станет пользоваться продуктом бесплатно. Эти ответы тоже попадают в модель и меняются вместе с системой.

По этой модели идут сканы, расследования и исправления. Глубокие сканы нацелены на сложные цепочки эксплойтов в больших кодовых базах. Продукт при этом model-neutral: Cognition собирает один управляемый сервис, который может подключать лучшие кибермодели разных лабораторий и менять их по мере развития. Дополнительно Devin забирает находки по API из существующих сканеров, bug bounty и advisories, убирает дубликаты и перепроверяет их передовыми моделями.

Четыре способа закрыть находку

Далее Devin переоценивает каждую находку, свою или чужую, по эксплуатируемости и потенциальному ущербу в конкретной среде. Команда видит, что чинить сейчас, что можно запланировать, а где уместна документированная корректировка риска. Закрытие не всегда означает pull request. Доступны четыре варианта:

• Переклассификация с доказательствами. Devin документирует ложные срабатывания или предлагает корректировку риска, опираясь на достижимость, контроль доступа и другие смягчающие факторы, и готовит записи о принятии риска. Каждое предложение требует одобрения человека, исходный балл CVSS остаётся рядом с правкой. Уязвимости из каталога KEV не переклассифицируются никогда.
• Митигация в инфраструктуре. При настроенных правах Devin применяет правило WAF, меняет security group или закрывает публичный доступ к сервису. Экспозиция снижается, пока готовится постоянное исправление, но сама уязвимость остаётся.
• Исправление уязвимости. Devin запускает тысячи параллельных сессий в независимых виртуальных машинах. Каждая воспроизводит уязвимость, пишет фикс, прогоняет тест воспроизведения и существующие тесты и открывает PR с доказательствами.
• Устранение класса уязвимостей. Для повторяющихся дефектов Devin оценивает и помогает реализовать более широкий рефакторинг, например централизовать проверки авторизации или параметризовать запросы по всему приложению.

Результаты возвращаются в существующие инструменты безопасности, а подтверждающие записи можно экспортировать в POA&M и GRC-системы.

Облачные агенты и кредиты на сотни миллионов

Техническая основа — облачная архитектура Devin. Больше двух лет он выполняет инженерную работу параллельно, и у каждой сессии своя виртуальная машина для воспроизведения проблемы, правок и независимой проверки. Благодаря этому Cognition заявляет о возможности запускать тысячи сканов и исправлений одновременно, на реальных сервисах, а не на статическом анализе.

Финансовая часть: действующие и будущие корпоративные клиенты получают бесплатные сканы с передовыми кибермоделями. Новые клиенты могут также получить кредиты на устранение самых критичных уязвимостей. Команда Cognition обещает работать рядом с клиентами на этапах расследования и исправления.

Для security-лидов вывод практичный. Прежде чем подключать такой инструмент, стоит оценить, готова ли команда вести общую модель угроз: качество приоритизации зависит от контекста, который вносят люди. Полезно сразу определить, какие классы правок разрешены без ревью, а какие требуют одобрения, и выдать Devin ровно те права в инфраструктуре, которые вы готовы ему доверить. Бесплатные сканы дают недорогой способ сравнить его находки с выводом текущих сканеров, прежде чем пускать автоматические фиксы в продакшен.