IBM planlægger at føje scanning med Claude Mythos til Concert Protect

IBM annoncerede den 9. november 2026, at virksomheden planlægger at føje Anthropic’s Claude Mythos’ cybernetiske ræsonnering til Concert Protect med det formål at opdage hidtil ukendte sårbarheder, fastslå, om de kan udnyttes, og fremskynde afhjælpningen. Målet er at gøre løsningen generelt tilgængelig i begyndelsen af 2027.

Den planlagte funktion vil kombinere AI-drevet kodescanning fra Mythos med Concert Protects værktøjer til eksponeringsstyring. Den vil undersøge applikationsarkiver, som kunderne selv vælger, for komplekse logikfejl, potentielle zero-day-sårbarheder og andre svagheder, der ikke har eksisterende signaturer eller Common Vulnerabilities and Exposures-registreringer (CVE). Resultaterne vil derefter indgå i den samme sårbarhedshåndteringsproces som resultater fra traditionelle scannere.

Udformningen afspejler IBMs opfattelse af, at hurtigere AI-drevet opdagelse øger betydningen af prioritering og afhjælpning. En større strøm af fund har begrænset operationel værdi, hvis sikkerhedsteams ikke kan fastslå, hvilke fejl der udgør reelle angrebsveje, og omsætte vurderingen til rettelser.

Kontekstbaseret validering af ukendte fejl

Concert Protect leverer allerede den miljøvurdering, som disse fund vil blive ført ind i. Den aktuelle produktdokumentation beskriver en platform, der sammenholder kode, applikation, infrastruktur, kørselskontekst og forretningskontekst for at vurdere, om en sårbarhed kan udnyttes i et bestemt miljø. Analysen skal identificere forudsætninger for angreb, berørte arbejdsbelastninger og mulige angrebsveje og dermed levere dokumentation ud over alvorlighedsscorer og generiske forudsigelser af, om noget kan udnyttes.

For et fund genereret af Mythos vil det planlagte trin til dokumentation af udnyttelighed undersøge konteksten for kode, konfiguration og infrastruktur for at vurdere mulige udnyttelsesveje og levere underbyggende dokumentation. Alle sådanne fund vil indgå i Concert Protects etablerede arbejdsgang for vurdering og afhjælpning sammen med resultater fra traditionelle scannere i stedet for at blive placeret i en separat kø med AI-advarsler.

IBM beskriver også Secure Coder som et værktøj, der opdager sårbarheder, hemmeligheder og afhængighedsrisici, mens koden skrives, og som giver indsigt i realtid i det integrerede udviklingsmiljø samt vejledning til rettelser. Mythos-planen retter sig mod et supplerende område: analyse af udvalgte arkiver for hidtil ukendte svagheder, som traditionelle scannere kan overse.

Udviklergodkendelse i afhjælpningsprocessen

Efter valideringen skal Concert Protect og Red Hat Lightwell prioritere risici, der kan udnyttes, trække på pålidelige, bagudporterede rettelser til open source-software og generere målrettede ændringer til afhjælpning. Udviklerne skal validere, gennemgå og godkende ændringerne via automatiserede arbejdsgange for pull requests.

Processen overlader forberedelsen af rettelser og koordineringen af arbejdsgangen til automatisering, samtidig med at det udtrykkeligt er et menneske, der afgør, om en rettelse skal gennemføres. Den forbinder også sikkerhedsprioritering med applikationsudvikling og drift – de teams, som Concert Protect allerede samler om afhjælpning af sårbarheder.

Målet er tilgængelighed i begyndelsen af 2027

I annonceringen skelnes der mellem planen for kunderne og IBM og Anthropics tidligere arbejde med Project Glasswing, som fokuserede på intern sikkerhedsforskning og evaluering. Integrationen med Concert skal give erhvervskunder adgang til Mythos-funktioner gennem styrede arbejdsgange for sikkerhedsoperationer, hvor udviklernes gennemgang udgør et konkret kontrolpunkt.

Målet om tilgængelighed i begyndelsen af 2027 betyder, at disse samlede funktioner endnu ikke er generelt tilgængelige. Den foreslåede arbejdsdeling er dog klar: Mythos skal udvide opdagelsen ud over kendte signaturer, Concert Protect skal afprøve fundene i kundens miljø, og udviklerne skal fortsat godkende afhjælpningen. Det operationelle spørgsmål ved udrulningen er, om kombinationen kan omsætte et bredere udvalg af AI-opdagede svagheder til velunderbyggede prioriteter og godkendte rettelser uden at skabe endnu en isoleret arbejdsgang for sikkerhed.