Cognition の脆弱性対策「Devin Security」　Claude Mythos でスキャン

何が発表されたか

Devin を提供する Cognition は2026年10月26日、Devin Security の大幅な強化を発表した。Devin Security はソフトウェアの脆弱性（攻撃に使われうる弱点）を見つけ、対応の優先順位を決め、修正までを受け持つ製品だ。Cognition の発表には、2つの取り組みが書かれている。

1つ目は製品の強化で、中心は新しいディープスキャンである。大きなコードベース（ソフトウェアのソースコード全体）から、複数の弱点をつないだ複雑な攻撃の筋道を探す。このスキャンには Claude Mythos など、サイバー分野の最先端のモデルが使われる。企業はモデルへのアクセスを別に用意しなくても、Devin を通じてこの機能を使える。発表は複数の開発元のモデルから作業に合うものを選んで使う方針も示している。

2つ目は Devin クレジットの提供である。Cognition は、企業が重大な脆弱性を見つけて直せるよう、数億ドル規模の Devin クレジットを充てるとしている。クレジットは無料のスキャンと修正の作業に使われる。

製品のもう1つの柱は検出結果の採点のやり直しだ。採点し直すときに使うのは、顧客のチームと一緒に作る脅威モデルである。脅威モデルは社内のシステムやサービス、それらのつながり、守っているネットワークの設定、コードの配備のされ方をまとめた共有の文書だ。Devin は脅威モデルをもとに、自分のスキャンやほかのツールが出した検出結果を、その環境での悪用のしやすさと想定される被害で採点し直す。チームは今すぐ直すもの、予定に入れるもの、記録を残してリスクの評価を調整するものを分けて見られる。

対応の方法として、発表は次の4つを挙げている。

• 根拠を添えた付け直し。要件が許す場合に、誤検出の記録やリスクの評価の調整を提案する。提案ごとに人の承認が必要で、元の CVSS（脆弱性の深刻度を表す共通の点数）も残る。
• インフラでの緩和。権限を設定しておけば、WAF（Web アプリへの攻撃を防ぐ仕組み）のルールを入れるなどして、修正までの間の危険を減らす。弱点そのものは残る。
• 弱点の修正。独立した仮想マシンで数千のセッションを並列に動かし、脆弱性の再現、修正、テストを経て、根拠つきのプルリクエスト（コードの変更の提案）を出す。
• 同じ種類の弱点をまとめて取り除く作り直し。認可の確認を1か所に集めるなど、広い範囲の変更を手伝う。

年表で見ると

TRAIL の年表で、Devin のセキュリティ機能の前回の大きな更新は、2026年7月1日の Devin Security Swarm の公開である。複数のエージェントが脆弱性を探し、悪用できるかを確かめ、修正のプルリクエストを作る機能だ。このときも、提供対象はエンタープライズだった。

その後も Devin の更新は続き、年表の出来事は2026年9月に7件、10月は27日までに9件ある。10月19日にはアラートや問い合わせを仕分けて原因を調べる Devin Oncall が全組織で使えるようになった。

ディープスキャンに使われる Claude Mythos は、Claude を提供する Anthropic のモデルだ。年表では2026年9月1日の Claude Fable 5.1 と Mythos 5.1 で、Mythos 5.1 は審査を通った専門家だけが使えるとされた。Devin の発表はどの版の Claude Mythos を使うかを書いていない。

同じカテゴリで比べると

コーディングの比較表に並ぶツールでも、2026年9月29日から10月26日までに、セキュリティのスキャンの更新が続いた。

Claude Code の Claude Security の更新は、Claude Enterprise 向けのパブリックベータだ。組織には月2万5,000ドル分の無料クレジットが2か月付く。Codex では9月29日の更新で、GitHub のリポジトリをスキャンして修正案を用意する Codex Security Cloud が加わった。

TRAIL の年表の主な出来事では、9月29日から10月26日までに、コーディングのカテゴリの3つのツールが、セキュリティのスキャンの機能を出した。そのうち Claude Code と Devin は、企業向けに無料のクレジットやスキャンを付けている。ただし金額の示し方は違う。Claude Code は1組織あたりの月額で、Devin の数億ドルは取り組み全体の規模である。

誰が、いくらで使えるか

発表が対象に挙げるのは、エンタープライズの顧客だ。現在と今後のエンタープライズ顧客は、最先端のサイバー分野のモデルによる無料のスキャンを受けられる。新しい顧客は修正に使うクレジットも受け取れる。始めるには、Cognition のチームに問い合わせる。

TRAIL の料金表では、Devin の Enterprise プランは要問い合わせの個別契約だ（2026年10月24日に確認）。提供地域と日本語での扱いは発表の本文に書かれていない。

まだ分からないこと

Devin Security そのものの料金は、発表に示されていない。ほかに、次の点も発表からは分からない。

• 1社あたりのクレジットの額と、受け取る条件、期限。
• ディープスキャンに使う Claude Mythos の版と、ほかに使うモデルの名前。
• エンタープライズ以外のプランで使えるかどうか。
• 提供地域と、日本語での扱い。