Cognition gir bedrifter Claude Mythos via Devin – lover kreditter for hundrevis av millioner dollar

Cognition, selskapet bak kodeagenten Devin, gir bedriftskunder tilgang til Anthropics sikkerhetsmodell Claude Mythos gjennom en oppgradert versjon av Devin Security. Samtidig lover selskapet å bruke «hundreds of millions of dollars» i Devin-kreditter på gratis sårbarhetsskanning og hjelp til å rette feil. Kunngjøringen kom mandag 26. oktober klokken 17.00 norsk tid.

Det betyr at virksomheter kan få kjørt dype skanninger med Claude Mythos og andre avanserte cybermodeller uten å ha egen tilgang til modellene, ifølge Cognition.

Hva Cognition lanserer

Devin Security er Cognitions produkt for å finne, prioritere og rette sårbarheter i programvare. Nyheten er såkalte dype skanninger, som skal avdekke komplekse, kjedede angrepsveier i store kodebaser. Cognition skriver at skanningene nå drives av «Claude Mythos and other frontier cyber models», og at bedrifter kan bruke dem gjennom Devin «without needing separate access to the models».

Selskapet beskriver produktet som modellnøytralt: Cognition vil velge de modellene fra ulike laboratorier som egner seg best til oppgaven, og bytte etter hvert som modellene blir bedre. Hvilke andre modeller som brukes i dag, står ikke i kunngjøringen.

Devin kan også hente inn funn fra skannere kunden allerede bruker, bug bounty-programmer og sikkerhetsvarsler, fjerne duplikater og kontrollere funnene på nytt med de samme modellene.

Trusselmodell i stedet for standard alvorlighetsgrad

Cognition kritiserer verktøy som setter alvorlighetsgrad på funn uten å forstå kodebasen, hvordan den er satt i drift og hvilke forsvar som allerede finnes. Devin Security skal i stedet bygge en løpende trusselmodell sammen med kundens sikkerhets- og utviklingsteam. Den kartlegger systemer, tjenester og nettverksregler, og teamet legger inn det Devin ikke kan lese ut av koden, for eksempel om en tjeneste bare er intern.

Funnene vurderes så på nytt ut fra hvor lett de kan utnyttes og hvor stor skade de kan gjøre i akkurat det miljøet. Devin kan foreslå å nedgradere eller avskrive funn med begrunnelse, men hvert forslag krever godkjenning fra et menneske, og den opprinnelige CVSS-poengsummen blir stående. Sårbarheter på CISAs KEV-liste over kjente utnyttede sårbarheter blir aldri nedgradert, skriver selskapet.

Fra funn til retting

Med tilgang konfigurert kan Devin også gjøre midlertidige grep i infrastrukturen, som å legge inn en WAF-regel, endre en sikkerhetsgruppe eller fjerne offentlig tilgang til en tjeneste. Cognition presiserer at selve feilen da fortsatt er åpen.

For varige rettinger oppgir selskapet at Devin kan kjøre tusenvis av parallelle økter, hver i sin egen virtuelle maskin. Hver økt gjenskaper sårbarheten, skriver en retting, kjører tester og åpner en pull request med dokumentasjon. Resultatene kan synkroniseres tilbake til eksisterende sikkerhetsverktøy og eksporteres til GRC-verktøy.

Kredittene gjelder nåværende og framtidige bedriftskunder, som får gratis skanning med avanserte cybermodeller. Nye kunder kan i tillegg få kreditter til retting. Cognition oppgir ikke hvordan beløpet fordeles, hvor mye hver kunde kan få, eller hva tjenesten koster etter det.

Hva ledere bør ta med seg

Tilgang til de sterkeste sikkerhetsmodellene går nå også via mellomledd. Det kan gi flere virksomheter tilgang, men legger kildekode, trusselmodell og infrastrukturtilgang hos enda en leverandør. Avklar hvor data behandles, hvilke modeller som faktisk brukes, og hvilke rettigheter agenten får i produksjon.

Gratis skanning kan gi en rask oversikt over egne sårbarheter. Sørg for at det finnes kapasitet og eierskap til å følge opp funnene, og at menneskelig godkjenning er lagt inn før funn avskrives eller endringer går i drift.

Kilder og medier

• Cognition: Devin Security: Find and fix your most dangerous vulnerabilities

Cognitions innlegg er publisert 26. oktober 2026 klokken 17.00 norsk tid. Alle opplysninger og sitater i saken er hentet fra dette innlegget.

Illustrasjon: KI-generert med Grok Bot / hogby.ai