Cisco apresenta Antares-1B, modelo que localiza arquivos vulneráveis offline no laptop

O Antares-1B parte do IBM Granite 4.0 1B, pós-treinado pela Cisco com ajuste supervisionado e depois GRPO, para localizar vulnerabilidades. O modelo não decorou um catálogo de CVEs. Ele aprendeu uma política de busca: dada uma classe de fraqueza (CWE) e um repositório desconhecido, qual é a próxima pergunta mais útil. O laço é simples. O modelo recebe a descrição da CWE e um repositório somente leitura em sandbox, roda até 15 comandos de shell (find, rg, grep, sed), sem rede, sem escrita e sem interpretadores, e entrega uma lista ranqueada de arquivos suspeitos.

No VLoc Bench, com 500 repositórios, cada um no commit anterior ao patch de segurança, a Cisco publica F1 de 0,209 para os mesmos pesos, servidos com vLLM em GPUs de datacenter e com média de três execuções. O autor obteve 0,168 em uma única varredura num Apple M1, cerca de 80% do valor publicado, em torno de 9 horas para o conjunto todo. Em hit@any, o acerto ficou perto de um terço dos repositórios. Segundo o relatório técnico da Cisco, o Antares-1B ficou em quarto lugar em F1 de arquivos, acima do Gemini 3 Pro, e teve o melhor recall entre todos os sistemas. Nas mesmas condições, o melhor Semgrep chegou a 0,086 e o CodeQL a 0,023, abstendo-se em mais de 92% dos repositórios por não conseguir compilar os snapshots. Trata-se de benchmark do próprio fornecedor, com harness e pesos públicos.

Para quem opera triagem de advisories, o ganho está em reduzir o escopo antes da etapa cara: olhar 30 arquivos em vez de 300. Rodar offline também resolve a conversa sobre residência de dados em ambientes regulados. A saída em SARIF 2.1.0 e a flag --fail-on-findings encaixam no CI, mas a leitura prudente é tratar a lista como hipótese. Ela é ruidosa, tende a apontar arquivos mesmo em árvores já corrigidas e perde precisão em repositórios acima de alguns megabytes. Uma lista fraca não significa que o código esteja seguro.