Des failles détectées aux correctifs, Devin automatise la réponse aux vulnérabilités

Avec Devin Security 2.0, Cognition associe Claude Mythos à des agents capables d'analyser, hiérarchiser et corriger les vulnérabilités logicielles.

356 signalements de sécurité reçus par le projet curl en moins de dix mois, contre 181 sur l'ensemble de l'année précédente. L'accélération de la découverte des vulnérabilités, favorisée par les modèles d'intelligence artificielle, fait apparaître un problème : les équipes de cybersécurité peuvent désormais recevoir des failles potentielles plus rapidement qu'elles ne sont capables de les examiner et de les corriger.

C'est sur ce décalage que Cognition positionne Devin Security 2.0, une évolution de son agent de développement logiciel. Le système associe des modèles spécialisés en cybersécurité, dont Claude Mythos d'Anthropic, à des agents capables d'analyser des dépôts de code, de vérifier les vulnérabilités signalées, d'évaluer leur danger dans un environnement donné et de préparer des correctifs testés. L'entreprise annonce parallèlement plusieurs centaines de millions de dollars en crédits Devin pour accompagner les entreprises dans ces opérations. La découverte des vulnérabilités dépasse la capacité de traitement

Les modèles de langage capables d'analyser du code ont changé les conditions de la recherche en cybersécurité. Une faille difficile à exploiter, autrefois classée comme secondaire, peut devenir beaucoup plus préoccupante si un système automatisé parvient à en identifier rapidement les conditions d'exploitation.

Cognition prend l'exemple de vulnérabilités révélées dans les écosystèmes PHP et Node.js, où le passage d'une faiblesse connue à une exploitation démontrable peut modifier brutalement les priorités des équipes techniques.

Mais le problème ne se limite pas aux failles nouvellement découvertes. Les entreprises accumulent déjà les alertes issues des scanners, des programmes de bug bounty, des audits et des équipes internes. Multiplier ces signalements sans augmenter la capacité de vérification et de correction risque surtout de déplacer le travail vers les développeurs chargés de les traiter.

Les données citées pour curl illustrent cette pression. Le projet a reçu 356 rapports de sécurité au 22 octobre 2026, contre 181 sur toute l'année 2025, soit presque le double en moins de dix mois. Il s'agit de signalements reçus, et non nécessairement de 356 vulnérabilités confirmées.

Devin Security cherche à réunir les opérations qui suivent cette première détection : vérifier qu'une faille existe toujours, déterminer son exposition réelle, la reproduire et proposer une correction. Claude Mythos rejoint les outils d'analyse de Devin

Les analyses approfondies de Devin Security peuvent désormais utiliser Claude Mythos et d'autres modèles avancés spécialisés dans la recherche de vulnérabilités.

Ces capacités sont intégrées dans l'environnement de Cognition. Les clients professionnels peuvent ainsi les mobiliser sans devoir obtenir séparément un accès direct à chaque modèle de cybersécurité.

Cette approche repose sur une architecture appelée Agentic MapReduce, qui répartit l'analyse d'un dépôt logiciel entre plusieurs agents.

Le système commence par cartographier les zones importantes pour la sécurité : routes applicatives, contrôles d'autorisation, accès aux données, opérations sensibles ou fonctions susceptibles de traiter des contenus non fiables. Il sélectionne ensuite les portions de code pertinentes et lance plusieurs investigations en parallèle.

Les résultats sont regroupés pour supprimer les doublons, rapprocher des failles qui pourraient former une chaîne d'exploitation et sélectionner celles qui méritent une vérification supplémentaire.

Pour les signalements prioritaires, Devin peut lancer une version fonctionnelle de l'application dans un environnement isolé afin de tester si le comportement vulnérable peut réellement être reproduit.

Le recours à plusieurs modèles permet à Cognition d'adapter les analyses aux tâches et aux niveaux de difficulté, plutôt que de dépendre d'un seul système. Une faille critique sur le papier ne l'est pas toujours dans l'application

L'autre difficulté concerne la hiérarchisation des vulnérabilités. Un score de gravité technique ne suffit pas à décrire les conséquences concrètes d'une faille dans une entreprise.

Un composant vulnérable peut être inaccessible depuis Internet, protégé par plusieurs mécanismes d'authentification ou présent dans une partie du code qui n'est plus exécutée. À l'inverse, une faiblesse jugée relativement modeste peut devenir grave si elle permet d'accéder aux informations d'autres clients ou de contourner des autorisations.

Devin Security construit pour cela un modèle de menace évolutif avec les équipes techniques. Il documente les services, les machines, les règles réseau, les flux de données, les frontières de confiance et les conditions réelles de déploiement.

Certaines informations peuvent être extraites du code ou de l'infrastructure. D'autres, comme la portée d'un service interne ou les conséquences commerciales d'un accès non autorisé, nécessitent une intervention humaine.

Une donnée publiée dans les travaux d'Anthropic sur Project Glasswing illustre cette distinction : parmi 1 752 signalements initialement considérés comme élevés ou critiques et examinés, 90,6 % correspondaient à de véritables vulnérabilités, mais seulement 62,4 % ont finalement été confirmés comme élevés ou critiques.

Découvrir une véritable faille et lui attribuer le bon degré d'urgence sont donc deux opérations différentes. <Cite ref="turn891146search0"/>

Cognition précise que Devin conserve le score CVSS d'origine lorsqu'il propose une priorité adaptée à l'environnement. Les ajustements de risque nécessitent une validation humaine, et les vulnérabilités répertoriées dans le catalogue KEV de la CISA, consacré aux failles activement exploitées, ne peuvent pas être reclassées par le système. Des centaines de corrections exécutées en parallèle

L'analyse ne constitue qu'une partie du fonctionnement de Devin Security. Une fois les failles sélectionnées, l'agent peut préparer leur correction en mobilisant plusieurs environnements indépendants.

Chaque session