Cognition rüstet Devin Security mit Claude-Mythos-Tiefenscans auf und sagt Credits in Millionenhöhe zu

Tiefenscans und ein lebendiges Bedrohungsmodell

Laut Cognition bietet Devin Security jetzt Tiefenscans, die komplexe verkettete Exploits in großen Codebasen aufspüren sollen. Die Scans laufen auf Claude Mythos und weiteren führenden Cyber-Modellen. Security-Teams in Unternehmen können sie über Devin nutzen, ohne separaten Zugang zu den Modellen zu benötigen.

Gesteuert werden die Scans von einem Bedrohungsmodell, das Devin gemeinsam mit den Security- und Engineering-Teams eines Kunden erstellt. Cognition beschreibt es als gemeinsames, lebendiges Dokument, das Systeme, Dienste und Hosts abbildet, ihre Kommunikation untereinander sowie die Netzwerkrichtlinien und Sicherheitsgruppen, die sie schützen. Es hält außerdem fest, wie Code bereitgestellt wird und welcher Code ungenutzt ist.

Die Teams ergänzen Kontext, den Devin allein aus dem Code nicht ermitteln kann, etwa in welcher Region ein Dienst läuft oder ob er nur intern erreichbar ist. Devin fragt zudem nach den geschäftlichen Auswirkungen, zum Beispiel was passieren würde, wenn ein Nutzer die Daten eines anderen lesen, Administratorzugriff erlangen oder das Produkt ohne Bezahlung nutzen könnte. Das Modell wird fortlaufend angepasst, sobald sich Systeme ändern.

Nach Angaben von Cognition ist Devin Security modellneutral. Das Unternehmen baue ein einziges verwaltetes Produkt, das die besten cyberfähigen Modelle verschiedener Labs nutzen kann und mit der Weiterentwicklung der Modelle jeweils die geeignetsten auswählt.

Befunde priorisieren und die passende Lösung wählen

Cognition argumentiert, dass Security-Teams schon jetzt mehr Befunde haben, als sie beheben können, und dass viele Tools Schweregrade vergeben, ohne die Codebasis, die Bereitstellung oder vorhandene Schutzmaßnahmen zu verstehen. Solche Bewertungen können manche Risiken überzeichnen und andere unterschätzen, lösen aber dennoch Compliance- oder Richtlinienfristen aus.

Devin übernimmt Befunde aus den eigenen Scans sowie per API und Integrationen aus bestehenden Scannern, Bug-Bounty-Programmen und Sicherheitshinweisen. Es entfernt Duplikate und verifiziert Befunde mit führenden Modellen erneut. Anschließend bewertet es sie anhand des Bedrohungsmodells nach Ausnutzbarkeit und möglichem Schaden in der Umgebung des Kunden neu. So wird sichtbar, welche Schwachstellen sofort behoben werden müssen, welche sich einplanen lassen und bei welchen eine dokumentierte Risikoanpassung gerechtfertigt ist.

Laut Unternehmen erfordert die Behebung eines Befunds nicht immer einen Pull Request. Devin unterstützt vier Vorgehensweisen:

• Mit Belegen neu einstufen. Devin dokumentiert Fehlalarme oder schlägt Risikoanpassungen auf Basis von Erreichbarkeit, Zugriffskontrollen und anderen mildernden Faktoren vor und kann Risikoakzeptanz-Protokolle vorbereiten. Jeder Vorschlag erfordert eine menschliche Freigabe, der ursprüngliche CVSS-Wert bleibt neben jeder Anpassung bestehen, und in der KEV-Liste geführte Schwachstellen werden nie umgestuft.
• In der Infrastruktur abmildern. Mit entsprechend konfiguriertem Zugriff kann Devin eine WAF-Regel anwenden, eine Sicherheitsgruppe ändern oder den öffentlichen Zugriff auf einen Dienst entfernen. Diese Schritte verringern die Angriffsfläche, bis eine dauerhafte Lösung vorliegt, die zugrunde liegende Schwachstelle bleibt jedoch offen.
• Die Schwachstelle beheben. Devin kann Tausende parallele Sitzungen in unabhängigen virtuellen Maschinen ausführen. Jede reproduziert eine Schwachstelle, schreibt einen Fix, führt den Reproduktionstest und bestehende Tests aus und öffnet einen PR samt Nachweisen.
• Die Schwachstellenklasse wegrefaktorieren. Bei wiederkehrenden Schwachstellen kann Devin eine umfassendere Änderung abschätzen und bei der Umsetzung helfen, etwa die Zentralisierung von Autorisierungsprüfungen oder die Parametrisierung von Abfragen in der gesamten Anwendung.

Die Ergebnisse werden in bestehende Security-Tools zurückgespielt, begleitende Unterlagen lassen sich in POA&M- und GRC-Tools exportieren.

Cloud-Agenten und die Credit-Zusage

Cognition zufolge beruht das Produkt auf dem Cloud-nativen Design von Devin. Seit mehr als zwei Jahren führt Devin umfangreiche Engineering-Aufgaben parallel aus, wobei jede Sitzung in einer eigenen virtuellen Maschine läuft, um ein Problem zu reproduzieren, Änderungen vorzunehmen und das Ergebnis unabhängig zu testen. Das Unternehmen sagt, so könne es Tausende Scans und Fixes gleichzeitig ausführen und Fixes auf echten VMs mit echten Diensten validieren.

Parallel zum Produkt sagt Cognition Devin-Credits in Höhe von mehreren Hundert Millionen Dollar zu. Bestehende und künftige Unternehmenskunden können kostenlose Scans mit führenden Cyber-Modellen erhalten, um komplexe Schwachstellen zu finden. Neukunden bekommen zudem Credits für die Behebung, damit sie ihre kritischsten Schwachstellen schließen können, bevor Angreifer sie ausnutzen. Cognition erklärt, das eigene Team werde die Kunden bei Untersuchung und Behebung begleiten.

Was das für Security-Teams bedeutet

Cognition versteht den Launch als Antwort darauf, dass Angreifer mit KI leichter ausgefeilte Angriffe durchführen können und Verteidigern weniger Zeit zum Reagieren bleibt. Für Security-Teams in Unternehmen bedeutet das Angebot Zugang zu führenden Cyber-Modellen ohne separate Vereinbarung sowie eine Möglichkeit, dringende Risiken von verrauschten Befunden zu trennen und knappe Entwicklungskapazitäten auf die Schwachstellen zu konzentrieren, auf die es ankommt.

Die Quelle nennt weder Preise noch Details zur Berechtigung für die Credits. Interessierte Unternehmen sollen sich an das Team von Cognition wenden, um mit Devin Security und den Credits zu starten.