Devin Security 重大升級：深度掃描、風險重評與修補，為何仍要人工核准？

資安工具列出一長串漏洞，並不會同時告訴工程師今天該先修哪一個。相同弱點放在公開服務或封閉系統裡，實際可被碰到的路徑也可能不同。

Cognition 在 2026 年 10 月 26 日宣布 Devin Security 重大升級，把深度掃描、依企業環境重評風險與後續修補接進同一項服務。

這次新增的深度掃描由 Claude Mythos 與其他前沿資安模型支援，符合資格的企業可透過 Devin 使用，不需要另行取得各模型的獨立存取資格。

但找到問題只是開始。Devin 會先和團隊建立威脅模型，再依可利用性與損害調整處置。風險調整提案仍要人工核准，暫時阻擋攻擊路徑也不代表原漏洞已修好。

我會把它視為縮短資安發現與工程處理之間落差的工具，適合已有負責人與驗證流程的團隊評估。重新評分的報告仍要回到處置與測試檢查。

要讓優先順序貼近自己的系統，第一步是把掃描器看不到的部署與業務條件補進共同的威脅模型。

Devin Security 如何建立企業威脅模型？

Devin Security 先把程式、服務、主機與保護它們的措施整理成一份持續更新的共同文件。威脅模型就是在這份文件裡說清楚：系統有哪些資產、可能從哪裡被接觸，以及出問題會造成什麼損害。

Cognition 的升級公告把它放在整項服務的起點。這不是先掃出一張分數表，再事後找理由調整，而是讓環境脈絡從一開始就參與調查。

文件會記錄服務如何溝通、哪些網路政策與安全群組提供保護，以及程式如何部署。安全群組可以先理解成限制哪些連線能進出的規則，不等於程式本身已經沒有弱點。

有些條件無法只從程式庫得知，例如服務實際在哪個地區運行，或某個入口是否僅供內部使用。這些資訊需要資安與工程團隊補上，代理不能憑檔案名稱自行認定。

技術條件要接到業務後果

Cognition 也會詢問業務影響：如果某個使用者能讀到另一人的資料、取得管理權，或者不付款就使用服務，對組織分別代表什麼。

假設一個功能原本只應顯示自己帳戶的資料，跨帳戶讀取就不只是程式輸出錯誤，還涉及客戶資料的權限。這是理解威脅模型用途的假設情境，並非本次實際測得的漏洞。

同樣的程式問題，若部署位置、可到達路徑與資料內容不同，需要處理的急迫程度也可能不同。環境資料的作用，是讓這些差別能被記錄與檢查。

因此，這份文件要隨服務變更一起更新。若原本的內部功能後來對外開放，繼續使用舊的環境判斷，就可能讓排序落後於實際風險。

環境與損害脈絡清楚後，深度掃描才有依據分辨哪些技術問題能串成實際攻擊路徑。

深度掃描與既有發現如何進同一佇列？

升級後的深度掃描針對大型程式庫中的複雜串連漏洞，並能接入團隊原有工具的發現。這次是既有 Devin Security 的重大升級，不是整項資安產品第一次出現。

官方說明，新的深度掃描使用 Claude Mythos 與其他前沿資安模型。企業透過 Devin 使用這些能力，不必另外取得每一家相關模型的獨立存取資格。

這改變的是取得服務的路徑，不能直接推成任何消費者帳號都能使用受限制模型。適用客戶與地區仍有自己的規則，後面的申請條件需要分開看。

串連問題和單一警示不同

深度掃描的方向，是調查大型程式庫中多個條件如何組成可利用的路徑。若只找到一個可疑函式，還不知道它是否可從外部到達，就未必足以判斷處理順序。

威脅模型在這裡提供調查背景：入口在哪裡、現有控制做了什麼、攻擊可能碰到哪一項資產。這讓發現能往實際系統前進，而不是停在一段孤立的程式碼。

Devin 同時可以經由 API 與整合接收既有掃描器、漏洞獎勵回報和安全公告的發現。API 是系統交換資料的介面，這裡用來讓其他來源進入相同工作流程。

這些發現會先去除重複項，再由模型重新驗證。去重的目的，是避免同一個問題被不同工具報告多次，卻被誤認成多項需要分別修補的工作。

官方沒有在這份公告公布一組能代表所有客戶的漏報率或誤報率，所以深度掃描與再驗證應視為產品能力說明，不能當成已經獨立實驗證實的完整防護。

當重複項與可利用條件被釐清，下一個問題便是每種風險應採取哪一種處置。

調整風險、緩解與修補有何不同？

Devin 將處置分成有證據的風險調整、基礎設施緩解、程式修補與整類弱點的重構，四者不能互相冒充。這個區分會直接影響一項發現是否真的能結案。

第一種是提出風險調整。若適用要求允許，Devin 可依可到達性、存取控制等證據，記錄誤報或提議調整，也能準備風險接受紀錄。

這些提案需要人工核准，原始 CVSS 分數也會保留。CVSS 是弱點嚴重程度的通用評分，保留原值可以讓人看見原始判讀和企業環境調整之間的差別。

官方另明確限制，列入 KEV 的弱點不會被重新標記。KEV 是已知遭利用弱點的目錄，不能把這類項目套進一般的降級標籤流程。

暫時阻擋入口，原漏洞仍然存在

第二種是基礎設施緩解。取得事先配置的權限後，Devin 可以調整防火牆規則、安全群組或移除服務的公開存取，以減少暴露面。

這裡的權限前提不可省略。產品能執行某種變更，不代表任意帳號一加入服務，就取得改動所有正式系統的能力。

Cognition 說明，這種暫時措施會讓底層漏洞維持開啟。若只是阻擋公開入口，程式裡的缺陷可能仍存在，之後開放新路徑時也需要重新檢查。

第三種才是直接修補程式，第四種則是處理反覆出現的整類弱點，例如集中授權檢查，或把查詢改為參數化。參數化是把資料值和查詢指令分開處理，減少混在一起解讀的風險。

其中改動程式的工作，還需要一份能讓審查者重現問題與確認修補的證據。

延伸閱讀：Cognition 漏洞修補外掛開源：從盤點到 PR，AI 升級執行環境還缺哪一步？

修補如何在獨立虛擬機裡驗證？

每個修補工作可以在自己的虛擬機重現弱點、修改程式與執行測試，再把結果帶回 PR。PR 是提出程式變更、讓團隊審查及決定是否合併的紀錄，不是正式上線通知。

使用獨立環境的意義，是讓每一項工作能帶著自己的服務與測試條件進行。Cognition 以此說明為何雲端代理適合平行調查與修補。

公司宣稱能執行數千個平行工作階段，但這是供應商描述的能力。公告沒有提供可供本文重跑的完整配置與結果，因此這項規模仍屬官方宣稱。

修好原問題，也要看原有行為

重現測試先確認問題能發生，修補後再用同一條路確認結果改變。若修補前沒有重現，後來測試通過就可能只是從頭到尾都沒有碰到真正條件。

既有測試則回答另一個問題：為了關閉弱點所做的修改，有沒有破壞原本應該存在的功能。資安修補和維持服務行為，需要放在一起檢查。

例如前面的帳戶資料假設，限制跨帳戶讀取之後，合法使用者仍應能看見自己的資料。這不是額外要求產品多做一項功能，而是確認修補沒有把整個查詢入口一起關掉。

官方描述的交付是附證據的 PR。接下來仍要依團隊的程式審查、合併與部署規則前進，不能因為代理說測試完成，就省去正式環境的發布責任。

Devin 也能將結果同步回既有資安工具，並匯出供改善計畫與治理工具使用的紀錄。能匯出紀錄有助交接，但不等於任何稽核或合規要求都已自動通過。

Devin 這條修補鏈能否用在團隊身上，除了技術流程，也受企業資格、模型地區與額度條件影響。

免費掃描與修補額度開放給誰？

Cognition 提供的是面向企業的掃描與修補額度計畫，實際資格與可用功能仍要在申請及合約中確認。公告沒有把它寫成所有帳號永久免費的公開方案。

整體承諾以數億美元的 Devin credits 表述，也就是可用於服務的信用額度，並不是直接發給每家公司的現金補助。

現有與未來企業客戶可洽詢由前沿資安模型提供的免費掃描。新客戶另可取得修補額度，用於處理最重要的弱點。各戶實際分配並沒有在公告中統一列出。

地區限制只涵蓋特定功能

Devin Security 地區政策說明，名單適用於使用受地區限制的資安模型或第三方模型功能，不是把整個 Devin Security 和其他產品都套進同一範圍。

該頁於 10 月 25 日更新，台灣列在支援地區中。不過，這些功能仍限企業客戶，是否可用要在簽約時確認，模型供應商也可能有其他地區限制。

政策還考量實際所在地、企業註冊或總部所在地，以及所有權或控制關係。因此，單看其中一位員工在支援地區，還不足以判斷整個組織已符合資格。

企業能否取得模型服務，和它是否允許服務處理某一類資料，也是不同決定。簽約前要把實際需要的系統資料與內部規則交給對應負責人確認。

這使額度比較必須放在適用條件之後。若某項深度掃描尚未對自己的組織開放，先計算免費額度就無法回答當下能完成什麼工作。

資格確認之後，團隊仍要指定誰可以接受風險、誰可以核准變更，才能讓工具接進既有責任鏈。

導入時，哪幾種決定仍要留給團隊？

團隊應把風險接受、暫時緩解與正式修補分開記錄，讓每一個關閉項目都有對應理由與負責人。這比單純追求待辦數量下降更能反映處理結果。

如果是誤報，應留下可以支持判斷的環境證據。如果是暫時緩解，則要繼續追蹤底層缺陷。如果已修補，還要能對回程式變更、測試與發布狀態。

這三種紀錄對應不同的後續行動。把暫時防護記成永久修復，會使下一個接手人誤以為不需要再排工程工作。

威脅模型也需要有人維持。代理可以協助整理，但哪些服務對外、哪些資料受到保護、業務可以承受什麼中斷，不能只由程式碼自動推定。

同樣地，重構可能比單點修補涉及更大的範圍。是否把多處授權改成共用檢查，需要連同相依功能與發布安排評估，不能因為看到同類警示就直接擴大修改。

我認為這次升級最適合拿來評估「發現到處理」的交接，而不只比較掃描出了多少項。若團隊能提供環境脈絡、核准規則與測試責任，服務的分流與修補能力才有可核對的落點。

當掃描、處置與驗證能接回同一個責任鏈，較少的待辦才有機會代表風險真的降低。

延伸閱讀：Claude Code Review 正式開放：Team、Enterprise 的 Quick、Standard、Deep 怎麼選？

常見問題

Devin Security 是 10 月 26 日第一次推出嗎？

不是。Cognition 宣布的是既有服務重大升級，加入新的深度掃描能力並擴大企業掃描與修補額度計畫。

風險分數被調低，是否代表漏洞修好了？

兩者不同。調整需有證據和人工核准，原始 CVSS 保留。基礎設施緩解也會讓原漏洞保持開啟。正式修補還要核對程式與測試。

台灣公司可以立即免費使用 Mythos 掃描嗎？

台灣在政策支援名單中，但受限制功能只對企業客戶開放，實際資格、合約與供應商條件仍須確認。公告不等於每個帳號已啟用。

資料來源

• Cognition：Devin Security 重大升級與額度計畫
• Cognition：Devin Security 支援地區與企業資格