Devin Security Swarm (Cognition) findet 36 von 50 echten GHSA‑Schwachstellen — 3, die jedes andere Tool verpasst hat.

3. Juli 2026, 06:08

Devin schreibt nicht mehr nur Code. Am 1. Juli hat Cognition Devin Security Swarm gestartet, ein KI-Agent-Produkt, das nach Exploits jagt: Ein Schwarm paralleler Devin‑Agenten durchsucht Ihren gesamten Codebestand (Cognition nennt es Agentic MapReduce), reproduziert jede Entdeckung in einer isolierten Sandbox, um zu beweisen, dass sie tatsächlich ausnutzbar ist, und erstellt anschließend einen Remediation‑PR. Kein Pattern‑Matching, keine Fehlalarm‑Massen — nur zur Laufzeit validierte Exploits.

Die Zahlen

Bei 50 echten GHSA‑Schwachstellen in 14 Sprachen: 72 % Recall bei 90 $ pro Durchlauf. Claude Security erreichte 68 % bei 132 $ — Devin ist 30 % günstiger pro Fund. Drei kritische Bugs, darunter ein PHP‑Sandbox‑Bypass und ein Spring‑Kafka‑Deserialisierungs‑Loch, wurden allein von Devin entdeckt.

API‑Zugriff

Es läuft auf der Devin‑Plattform. Unternehmen schließen über die Devin‑API an, planen tägliche oder wöchentliche Scans, und inkrementelle Durchläufe berühren nur geänderten Code — der offensichtliche Schritt ist, es in CI zu integrieren für validierte Findings plus Fix‑PRs. Ein sechs‑wöchiges Devin‑Security‑Program räumt CVE‑Rückstände auf.

Agent‑Schwärme, die nach Schwachstellen jagen, sind 2026 die heißeste Sicherheitskategorie — Anthropic’s Glasswing, XBOW — und Devin ist gerade mit den besten Genauigkeit‑pro‑Dollar‑Zahlen eingestiegen.