Cognition 升级 Devin Security，新增前沿模型深度扫描与大规模修复

今天，我们推出两项举措，帮助软件团队提升其安全态势。

第一：我们推出 Devin Security 的重大升级，这是我们的产品，用于端到端地发现、优先级排序和修复漏洞。Devin Security 现在提供由 Claude Mythos 和其他前沿网络模型驱动的深度扫描。企业安全团队可以通过 Devin 使用这些能力，而无需单独访问这些模型。

Devin Security 基于我们与您的团队共同构建的定制威胁模型，评估您环境中的可利用性和潜在损害，从而将紧急风险与嘈杂的发现区分开来。由于 Devin 是云原生的，它随后可以在运行真实服务的真实虚拟机上并行地编写、验证和端到端测试大规模修复。

第二：我们承诺投入数亿美元的 Devin credits，通过使用前沿网络模型的免费扫描和修复 credits，帮助企业发现并修复其最关键的漏洞。

AI 正在使复杂攻击更容易实施，并让防御者可用于响应的时间更少。安全团队面临越来越多的发现和有限的工程能力。遗漏一个危险缺陷或将工程能力花在错误的修复上，可能会使客户数据和关键系统暴露。

推出 Devin Security

安全团队已经拥有的发现数量超出了他们能够修复的范围。

太多工具在不了解代码库、其部署方式或已有防御措施的情况下，就给问题分配严重性评级。这些评级可能高估某些风险并低估其他风险，却仍会触发合规或政策截止日期。团队将稀缺的工程能力用于调查可疑的发现，同时仍不确定哪些缺陷需要紧急关注。

与此同时，无法访问最新网络模型的团队可能会完全遗漏一些最复杂和最危险的漏洞。

与您的团队共同构建的活的、整体性威胁模型

Devin Security 与您的安全和工程团队共同构建一个活的威胁模型。这份共享文档映射您的系统、服务和主机，它们如何通信，以及保护它们的网络策略和安全组。它记录代码如何部署以及哪些代码未被使用。

您的团队补充 Devin 仅凭代码无法建立的上下文，例如某个服务运行在哪个区域，或它是否仅限内部使用。Devin 还会询问业务影响：如果一个用户可以读取另一个用户的数据、获得管理员访问权限，或不付费使用产品，会发生什么？这些答案会成为威胁模型的一部分，您和 Devin 会随着系统变化而扩展和完善它。

这种共享理解指导 Devin 的扫描、调查和修复。

通过深度扫描发现复杂漏洞

深度扫描是一种新方式，用于在大型代码库中发现复杂的链式漏洞利用，现在由 Claude Mythos 和其他前沿网络模型驱动。企业可以通过 Devin 使用深度扫描，而无需单独访问这些模型。

我们的安全框架使用您的威胁模型来指导这些扫描，调查复杂漏洞以及它们可能如何被利用。Devin Security 是模型中立的。我们正在构建一个托管产品，可以使用各实验室中最好的具备网络能力模型。随着模型改进，我们可以选择最适合这项工作的模型。

Devin 还通过 API 和集成从现有扫描器、漏洞赏金和公告中摄取发现。它会删除重复项，并使用前沿模型重新验证发现。

大规模优先级排序和修复漏洞

Devin 根据您的威胁模型评估其自身扫描和其他工具的发现，基于您环境中的可利用性和潜在损害重新评分。您的团队可以看到哪些缺陷需要现在修复，哪些可以安排，以及哪些发现值得记录在案的风险调整。

该评估指导工作顺序和响应方式。解决一个发现并不总是需要拉取请求：

带证据重新标记。在要求允许的情况下，Devin 记录误报，或基于可达性、访问控制和其他缓解因素提出风险调整。它还可以准备风险接受记录。每项提议都需要人工批准，原始 CVSS 分数与任何调整并存。KEV 列出的漏洞永远不会被重新标记。

在基础设施中缓解。在配置了访问权限的情况下，Devin 可以应用 WAF 规则、更改安全组或移除服务的公共访问。这些更改在准备永久修复期间减少暴露；底层缺陷仍然开放。

修复缺陷。Devin 可以在独立虚拟机中运行数千个并行会话，每个会话复现一个漏洞、编写修复、运行复现测试和现有测试，并打开带有证据的 PR。

重构消除漏洞类别。对于反复出现的缺陷，Devin 可以估计并帮助实施更广泛的更改，例如集中授权检查或在应用程序中参数化查询。

结果会同步回现有安全工具，支持记录可导出到 POA&M 和 GRC 工具。团队可以用证据解决误导性发现，并将工程能力引导到需要修复的缺陷上。

云代理使 Devin Security 成为可能

两年多来，Devin 一直在并行开展大规模工程工作。每个会话都有独立的虚拟机，用于复现问题、进行修改并独立测试结果。这种自主性让我们能够同时运行数千次扫描和修复。

投入数亿美元的 Devin credits

我们希望帮助客户适应风险更高的安全形势。

Cognition 正在为现有和未来的企业客户提供使用前沿网络模型的免费扫描，以发现复杂漏洞。新客户还可以获得修复额度，帮助在攻击者利用之前修复其最关键的缺陷。我们的团队将与客户并肩完成调查和修复工作。

我们认为，我们有责任帮助保护人们所依赖的软件。