米Cognition、AIがプログラムの欠陥を見つけて自動修正する新機能を発表

自律型AIソフトウェアエンジニア「Devin」を開発する米Cognitionは2026年10月26日（米国時間）、セキュリティ機能の新版「Devin Security 2.0」を発表し、同日より提供を開始した。プログラムの脆弱性の検出から危険度の判定、実際のコード修正までを一連の流れで自動実行する。あわせて企業向けに総額数億ドル規模のDevinクレジットを拠出する支援策も打ち出した。

近年はAI技術の急速な発展に伴い、サイバー攻撃側がシステムの欠陥を見つけて悪用するまでの期間が大幅に短縮している。2026年10月にはPHPやNode.jsで広範囲に影響する遠隔コード実行（RCE）の脆弱性が相次いで公表され、最先端モデルを用いた研究者が数時間で攻撃コードを試作した事例も報告された。一方で防御を担う現場では、既存のセキュリティツールが大量の警告を検出し、担当者が対応しきれず放置される課題が深刻化していた。

危険度の判定から修正コードの生成までを自動化

Devin Security 2.0は、システム構成や事業影響をまとめた「脅威モデル」をCognitionの技術チームと利用企業が共同で策定し、スキャンのたびに更新する運用を採る。これを基準に各脆弱性を分析し、「実際に攻撃が成立するか」「組織への影響はどの程度か」という観点から優先順位を判定する。

コードのスキャン機能には「Claude Mythos」などの先端モデルによる詳細調査を導入した。ユーザーは個別契約なしにDevin上で利用でき、データ非保持（ZDR）が適用される。重要な管理領域には詳細調査を、全体には低コストな通常調査を使い分けられる構成とした。また、SnykやWizといった既存ツールの検出結果やバグ報告を取り込んで重複を排除し、現在のコードと照合して再検証する機能も備える。

修正段階では、Devinが脆弱性の再現から修正、テストの実行までを自律的に行い、開発者が確認できるプルリクエストを作成する。数千件規模の検出結果を並列で処理できるため、現場の負担を抑えながら迅速な対応が可能になる。

総額数億ドル規模の支援枠を用意

Cognitionは新たな脅威環境に対応する企業を支援するため、総額数億ドル規模のDevinクレジットを提供する。2026年11月30日までの期間限定で、大企業向けに先端モデルを用いた詳細スキャンを無償提供するほか、新規契約企業には修正作業に使えるクレジットも付与する。

Cognition AI Japanの日本法人社長兼ゼネラルマネージャーを務める正井拓己氏は「日本のお客様からも既存ツールの検出結果に対応しきれないという相談を数多くいただいてきた。11月30日までの無料スキャンを、外部公開サービスなど重要システムを点検する機会として活用してほしい」とコメントしている。