معرفی Devin Security 2.0؛ عامل هوشمند Cognition باگ‌های امنیتی را خودکار پیدا و برطرف می‌کند

استارتاپ Cognition در حال گسترش عامل هوشمند Devin به یک سامانه امنیت سازمانی است؛ پلتفرمی که آسیب‌پذیری‌ها را شناسایی می‌کند، امکان سوءاستفاده از آن‌ها را می‌سنجد، کد اصلاحی می‌نویسد، آزمون‌های فنی را اجرا می‌کند و در نهایت پول ریکوئست باز می‌کند. نسخه جدید Devin Security 2.0 با تلفیق مدل‌های پیشرفته امنیتی، مدل‌سازی تهدید متناسب با تیم مشتری و استفاده از ماشین‌های مجازی ابری به‌صورت موازی، باگ‌ها را بازتولید و رفع می‌کند.

بر اساس طرح رونمایی این محصول، استارتاپ Cognition اعلام کرده است که صدها میلیون دلار اعتبار کاربری برای Devin اختصاص می‌دهد. مشتریان سازمانی می‌توانند از اسکن‌های عمیق رایگان بهره‌مند شوند و مشتریان جدید نیز اعتبارات ویژه‌ای برای رفع آسیب‌پذیری‌ها دریافت خواهند کرد.

افزایش سرعت اکسپلویت‌ها در برابر انباشت باگ‌های امنیتی

افشاگری‌های اخیر در پروژه‌های Node.js و PHP نشان می‌دهد چرا استارتاپ Cognition روی صف انباشته آسیب‌پذیری‌ها تمرکز کرده است. هر دو پروژه رخنه‌های اجرای راه دور کد (RCE) را گزارش دادند؛ حفره‌هایی که به مهاجم اجازه می‌دهد کدهای مخرب خود را روی سرور آسیب‌پذیر اجرا کند. نشانه‌هایی از یک رخنه زیرساختی در زنجیره حمله PHP2Shell در سال ۲۰۲۴ بدون هیچ روش مشخصی برای اجرای کد کشف شده بود. با این حال، شرکت امنیتی Wiz بعدها گزارش داد که مدل‌های هوش مصنوعی پیشرفته به محققان آن کمک کردند تا ظرف چند ساعت، روش‌های سوءاستفاده عملی را روی برنامه‌های مختلف پیاده‌سازی و تنظیم کنند. باگ‌هایی که زمانی سوءاستفاده از آن‌ها بسیار دشوار به نظر می‌رسید، اکنون بسیار سریع‌تر به مسیرهای حمله کاربردی تبدیل می‌شوند.

از سوی دیگر، ارسال گزارش‌های امنیتی به کمک هوش مصنوعی بار کاری تیم‌های مدافع را به‌شدت افزایش داده است. برای نمونه، پروژه متن‌باز curl در سال ۲۰۲۵ تعداد ۱۸۱ گزارش امنیتی و در ۱۰ ماه نخست سال ۲۰۲۶ تعداد ۳۵۶ گزارش دریافت کرد. دانیل استنبرگ، توسعه‌دهنده اصلی این پروژه، این چالش را ترکیبی از حجم بسیار زیاد و گزارش‌های ظاهراً معتبر توصیف کرده است. اکنون استارتاپ Cognition قصد دارد Devin را میان این صف طویل گزارش‌های ورودی و تیم‌های مسئول راستی‌آزمایی و ترمیم قرار دهد.

نگاهی به سازوکار فرآیند اسکن امنیتی

فرآیند کاری Devin Security 2.0 با یک مدل‌سازی مشترک از تهدیدها آغاز می‌شود و با یک یافته معتبر و آماده برای رفع نقص پایان می‌یابد. این فرآیند از چهار مرحله تشکیل شده است:

1. ساخت مدل تهدید: عامل Devin نقشه‌ای جامع از سیستم‌ها، سرویس‌ها، هاست‌ها، سیاست‌های شبکه، گروه‌های امنیتی و مسیرهای ارتباطی ترسیم می‌کند. در این مرحله، مشتری اطلاعاتی را که از خود سورس کد قابل استخراج نیست، مانند مناطق استقرار سرورها، میزان دسترسی عمومی از طریق اینترنت و سرویس‌های کاملاً داخلی، در اختیار سیستم قرار می‌دهد.
2. پیمایش و بررسی مخزن کد: پلتفرم با استفاده از معماری Agentic MapReduce، مسیرها، مرزهای احراز هویت، الگوهای دسترسی به داده و بخش‌های حساس به امنیت را در کد شناسایی می‌کند. این معماری کدهای انتخاب‌شده را به بخش‌های مجزا تقسیم می‌کند تا چند مدل به‌صورت هم‌زمان و موازی به تحلیل آن‌ها بپردازند.
3. تجمیع و اعتبارسنجی: سیستم گزارش‌های تکراری را حذف می‌کند، یافته‌هایی را که ممکن است یک زنجیره نفوذ را تشکیل دهند به یکدیگر پیوند می‌دهد و با توجه به مدل تهدید، سطح حساسیت آن‌ها را دوباره ارزیابی می‌کند. سپس یافته‌هایی که اولویت بالاتری دارند در یک محیط ایزوله (سندباکس) روی نسخه زنده برنامه آزمایش می‌شوند.
4. ارسال رخنه‌های تاییدشده به بخش ترمیم: یافته‌های تاییدشده وارد نشست‌های کاری موازی می‌شوند تا آسیب‌پذیری را بازتولید کنند، اصلاحیه لازم را بنویسند، آزمون‌های فنی را پشت سر بگذارند و در نهایت همراه با مستندات کافی، یک پول ریکوئست ایجاد نمایند.

استارتاپ Cognition لایه هماهنگ‌کننده خود را مستقل از مدلی خاص توصیف می‌کند؛ قابلیتی که به سیستم اجازه می‌دهد مدل پیشرفته Claude Mythos محصول شرکت Anthropic را در کنار سایر مدل‌های قدرتمند حوزه امنیت سایبری به کار بگیرد. کاربران می‌توانند بدون نیاز به عقد قراردادهای مجزا با ارائه‌دهندگان مختلف، از طریق Devin به این مدل‌ها دسترسی داشته باشند.

ارائه راهکار ترمیمی همراه با سند و اثبات

هر یافته با اولویت بالا می‌تواند یک ماشین مجازی ابری و مستقل را فعال کند. طبق ادعای سازندگان، Devin قادر است هزاران نشست این‌چنینی را به‌طور هم‌زمان اجرا کند؛ به‌گونه‌ای که در هر نشست باگ بازتولید می‌شود، کد اصلاحی نوشته می‌شود، آزمون‌های بازتولید و مجموعه تست‌های قبلی برنامه دوباره اجرا می‌شوند و در پایان یک پول ریکوئست با ثبت جزئیات نتایج ایجاد می‌گردد.

برخی از مشکلات تاییدشده حتی پیش از نهایی شدن تغییرات دائمی در کد، می‌توانند تدابیر امنیتی عملیاتی دریافت کنند. اگر دسترسی‌های لازم تعریف شده باشد، Devin می‌تواند قانونی جدید در فایروال برنامه‌های تحت وب (WAF) وضع کند، گروه امنیتی ابری را تغییر دهد یا دسترسی عمومی به یک سرویس را مسدود سازد. برای دسته‌ای از باگ‌های تکرارشونده نیز این سیستم می‌تواند تغییرات ساختاری عمیق‌تری نظیر متمرکزسازی بررسی‌های دسترسی یا استفاده از کوئری‌های پارامتری در پایگاه داده را به تیم توسعه پیشنهاد دهد.

هرگونه تغییر در رتبه‌بندی شدت خطر، نیازمند تأیید کارشناسان انسانی است. سیستم Devin امتیاز اولیه سامانه نمره‌دهی آسیب‌پذیری‌های متداول (CVSS) را در کنار امتیاز بازنگری‌شده حفظ می‌کند و هرگز برچسب آسیب‌پذیری‌های فهرست‌شده در کاتالوگ رخنه‌های شناخته‌شده آژانس امنیت سایبری و امنیت زیرساخت آمریکا (CISA KEV) را تغییر نمی‌دهد. شواهد انطباق با استانداردها نیز قابلیت خروجی گرفتن برای ابزارهای حاکمیت، مدیریت ریسک و انطباق (GRC) را دارند تا تیم‌ها بتوانند مهلت‌های قانونی استانداردهایی چون FedRAMP و PCI DSS را پیگیری نمایند.

بازبینی دوباره هشدارهای امنیتی قدیمی

عامل Devin همچنین می‌تواند گزارش‌های حاصل از اسکنرهای موجود، برنامه‌های باگ‌بانتی، هشدارهای عمومی و فایل‌های خروجی قبلی را دریافت کند. سیستم این گزارش‌ها را با کدهای فعلی پروژه تطبیق می‌دهد، موارد تکراری را حذف می‌کند، موارد مشکوک را در ماشین مجازی ابری آزمایش کرده و برای آن‌ها راهکار ترمیمی ارائه می‌دهد. این روند کاری می‌تواند خروجی ابزارهایی مانند Snyk و Wiz یا سال‌ها فایل اکسل و CSV انباشته‌شده را به صفی فعال و آماده برای رفع مشکل تبدیل نماید.

پروژه بازبینی Glasswing در شرکت Anthropic اهمیت بازنگری در اولویت‌بندی باگ‌ها را به روشنی نشان می‌دهد. از میان ۱۷۵۲ یافته امنیتی که در ابتدا با برچسب بالا یا بحرانی ثبت شده بودند، ۹۰.۶ درصد آسیب‌پذیری‌های واقعی بودند. با این حال، ارزیابی تکمیلی نشان داد که تنها ۶۲.۴ درصد از آن‌ها واقعاً دارای اولویت بالا یا بحرانی هستند. با افزایش حجم گزارش‌های ورودی، تشخیص درست رخنه و رتبه‌بندی دقیق شدت آن نیازمند راستی‌آزمایی جداگانه است.

محدودیت اصلی: توان تیم‌ها در بازبینی کدها

تیم‌های امنیتی با این جریان کاری، خروجی‌هایی دریافت می‌کنند که شامل اسناد دسترسی‌پذیری نفوذ، سناریوی عملی بازتولید باگ، نتایج تست‌ها و تغییرات پیشنهادی است. از آنجا که کارشناسان انسانی مرجع نهایی تأیید میزان خطر و اعمال تغییرات روی کد هستند، در عمل توان تیم‌ها در بررسی گزارش‌ها، مالکیت مخزن کد و ضوابط ادغام (Merge)، سرعت رسیدن این اصلاحات به محیط نهایی و عملیاتی را تعیین خواهد کرد.

اسکن‌های رایگان مبتنی بر هوش مصنوعی همچنین معادلات ارزیابی مخازن کد را دگرگون می‌کنند. سازمان‌ها اکنون می‌توانند این فرآیند را روی سرویس‌های کم‌اهمیت‌تر و صف‌های انباشته قدیمی اجرا کنند و بسنجند که آیا پول ریکوئست‌های تولیدشده آن‌قدر در زمان اصلاح باگ‌ها صرفه‌جویی می‌کنند که پس از پایان اعتبارات هدیه، خرید اشتراک این سرویس توجیه اقتصادی داشته باشد یا خیر.

نکاتی که پیش از ارائه دسترسی باید در نظر گرفت

اجرای عامل هوشمند Devin روی مخازن سازمانی، نیازمند دسترسی به سورس کد، سیستم‌های یکپارچه‌سازی مداوم (CI)، محیط‌های تست و برای اقدامات عملیاتی، دسترسی به تنظیمات ابری و شبکه است. بنابراین، هر سازمان برای پیاده‌سازی این ابزار باید موارد زیر را شفاف کند:

• سطوح دسترسی: تفکیک مجوزها و استفاده از دسترسی با کمترین امتیاز ممکن برای اسکن، ایجاد پول ریکوئست، تست و تغییرات زیرساختی.
• حاکمیت داده‌ها: مشخص کردن نحوه انتقال، ذخیره‌سازی و اشتراک‌گذاری سورس کد، لاگ‌ها، کلیدها و خروجی مدل‌ها با ارائه‌دهندگان هوش مصنوعی.
• دروازه‌های تضمین کیفیت: تعیین معیارهای لازم برای بازتولید باگ، آزمون‌های رگرسیون، تأیید صاحبان کد و تدوین برنامه‌های بازگشت به عقب (Rollback).
• محدودیت‌های عملیاتی: تعیین سقف نشست‌های هم‌زمان، دامنه مخازن مجاز، فرآیند ارجاع به سطوح بالاتر و مسئولیت نشست‌های ناموفق یا مبهم.
• توجیه اقتصادی: زیر نظر گرفتن هزینه‌ها پس از اتمام اعتبارات هدیه، زمان صرف‌شده توسط بازبین‌ها، نرخ تأیید پول ریکوئست‌ها، نرخ بروز خطاهای جدید و هزینه نهایی به ازای هر اصلاح تاییدشده.

ادعای استارتاپ Cognition را می‌توان بر پایه سنجه‌های ملموس ارزیابی کرد: نرخ تأیید باگ‌ها، زمان بازتولید خطا، زمان ادغام کد، ساعات کارشناس برای هر اصلاحیه و خطاهای احتمالی پس از انتشار در محیط عملیاتی. این نتایج در عمل نشان خواهند داد که آیا عامل‌های هوشمند موازی می‌توانند صف‌های رو به رشد تهدیدات امنیتی را به تغییراتی امن و قابل انتشار تبدیل کنند یا خیر.