Devin Security passa a usar Claude Mythos em deep scans e a corrigir vulnerabilidades de forma automatizada

O Devin Security, produto da Cognition para achar, priorizar e corrigir vulnerabilidades de ponta a ponta, ganhou deep scans com Claude Mythos e outros modelos frontier de cibersegurança. Clientes enterprise usam esses modelos pelo próprio Devin, sem precisar de acesso separado a eles. A Cognition diz que o produto é neutro em relação a modelos e pode trocar o que melhor servir ao trabalho conforme os laboratórios evoluem.

O eixo técnico é um threat model vivo, montado com as equipes de segurança e engenharia. Ele mapeia sistemas, serviços, hosts, comunicação entre eles, políticas de rede e security groups, além de registrar o que é código sem uso. O time completa o que não sai do código (região do serviço, se é só interno) e responde sobre impacto de negócio. Com isso o Devin reavalia a pontuação de achados dos próprios scans e de outras ferramentas, scanners, bug bounties e advisories, removendo duplicatas e reverificando com os modelos.

A resolução não é só PR. O Devin pode reclassificar com evidências (falso positivo ou ajuste de risco), mitigar na infraestrutura (regra de WAF, security group, remover acesso público, sem fechar a falha subjacente), corrigir o código em milhares de sessões paralelas, cada uma em VM própria que reproduz a falha, escreve o fix e roda os testes, ou refatorar a classe inteira da vulnerabilidade. Toda reclassificação exige aprovação humana, o CVSS original permanece visível e vulnerabilidades do KEV nunca são rebaixadas. Os resultados voltam para as ferramentas de segurança e podem ser exportados para POA&M e GRC.

Em 3 de julho de 2026, o CEVIU noticiou "Cognition lança Devin Security Swarm para caçar vulnerabilidades com agentes de IA", com a arquitetura Agentic MapReduce para varrer grandes bases de código. A novidade de agora é a camada de modelos frontier (Claude Mythos) nos deep scans, a priorização guiada por threat model e a remediação em múltiplos formatos, além do compromisso de créditos. Em 24 de agosto de 2026, o CEVIU já havia coberto "Anthropic Impulsiona Segurança Cibernética com Claude Mythos 5 e Fundo de US$35 Milhões", o que mostra o mesmo modelo chegando a ferramentas de terceiros.

Para quem opera segurança, o ponto central é a fila de achados: a promessa é cortar ruído com contexto do ambiente, não só somar mais alertas. A trava de aprovação humana e a regra do KEV são o que torna a reclassificação defensável em auditoria. Vale testar com os scans gratuitos antes de confiar na priorização, já que a qualidade depende do threat model que sua equipe alimenta.