Το VR-1.1 της Cogent επιτυγχάνει επιδιορθώσεις στο 57,9% των εργασιών του LiveCVEBench

Η Cogent Security παρουσίασε το VR-1.1 στις 3 Νοεμβρίου 2026, αναφέροντας ότι το μοντέλο επιδιόρθωσης ευπαθειών παρήγαγε επιτυχείς επιδιορθώσεις για το 57,9% των 190 εργασιών του LiveCVEBench, έναντι 45,3% για καθένα από τα Claude Code και Codex.

Η νεότερη προσθήκη στην οικογένεια VR της Cogent διευρύνει τις δυνατότητες αποκατάστασης που παρουσιάστηκαν με το VR-1. Στην αξιολόγηση συγκρίθηκε το VR-1.1 με το Claude Code, το οποίο εκτελούσε το Claude Opus 5.5, και το Codex, το οποίο εκτελούσε το GPT-5.6-Cyber. Κάθε σύστημα έλαβε τις ίδιες εισόδους και την ίδια διαμόρφωση, καθώς και τρεις προσπάθειες ανά εργασία. Οι βαθμολογίες βασίστηκαν στην τελική ενημέρωση κώδικα, αφού ολοκληρώθηκαν οι εσωτερικές προσπάθειες επιδιόρθωσης του κάθε συστήματος.

Ένα σύνολο αξιολόγησης με επίκεντρο τις λειτουργικές επιδιορθώσεις

Το LiveCVEBench επικεντρώνεται στην επιδιόρθωση πραγματικών ευπαθειών σε περιβάλλοντα ανάπτυξης. Η εργασία CVE-Factory περιγράφει ένα σύνολο 190 εργασιών, το οποίο ενημερώνεται συνεχώς και καλύπτει 14 γλώσσες προγραμματισμού και 153 αποθετήρια. Το έργο συγκριτικής αξιολόγησης τοποθετεί τους πράκτορες σε πραγματικά περιβάλλοντα ανάπτυξης, όπου πρέπει να εξερευνήσουν αυτόνομα βάσεις κώδικα, να κατανοήσουν το πλαίσιο κάθε ευπάθειας και να εφαρμόσουν μια επιδιόρθωση. Νέες CVE προστίθενται τακτικά.

Η διαμόρφωση της Cogent παρείχε για κάθε εργασία μια αναφορά ευπάθειας και την επηρεαζόμενη βάση κώδικα. Μια ενημέρωση κώδικα θεωρούνταν επιτυχής μόνο εφόσον περνούσε τους ελέγχους ευπαθειών και εξακολουθούσε να περνά τους ελέγχους λειτουργικότητας. Οι εργασίες καλύπτουν ελαττώματα έγχυσης, ελέγχου πρόσβασης, διαμόρφωσης και ασφάλειας μνήμης. Επομένως, μια πειστική εξήγηση δεν αρκεί, αν η αλλαγή αφήνει ανοιχτό έναν άλλο τρόπο εκμετάλλευσης της ευπάθειας, απενεργοποιεί νόμιμη λειτουργία, προκαλεί παλινδρόμηση ή δημιουργεί νέα έκθεση σε κίνδυνο.

Αυτή η διπλή απαίτηση ξεχωρίζει την επιδιόρθωση από την απλή αναχαίτιση μιας συγκεκριμένης επίδειξης επίθεσης. Το μοντέλο πρέπει να διατηρεί την προβλεπόμενη λειτουργία και ταυτόχρονα να κλείνει το κενό ασφαλείας, συμπεριλαμβανομένων των σχετικών διαδρομών που έχουν την ίδια αδυναμία.

Η ροή εργασιών επιδιόρθωσης του VR-1.1

Η Cogent αποδίδει το αποτέλεσμα στην εκπαίδευση για επιδιορθώσεις ασφαλείας και σε ένα πλαίσιο δοκιμών που αναπαράγει μια αδυναμία, την επιδιορθώνει και στη συνέχεια ελέγχει αν η ενημέρωση κώδικα μπορεί να παρακαμφθεί. Όταν το επιτρέπει η διαμόρφωση της εκτέλεσης, το VR-1.1 εξετάζει την αναφορά και τον πηγαίο κώδικα προτού συντάξει ένα παράδειγμα που ενεργοποιεί την ευπάθεια. Έτσι, το μοντέλο έχει μια αστοχία προς διερεύνηση και μια δοκιμή που μπορεί να επαναλάβει μετά την επιδιόρθωση.

Πριν κάνει μια στοχευμένη αλλαγή, το μοντέλο αναζητά σχετικές διαδρομές κώδικα που έχουν την ίδια αδυναμία. Σε ξεχωριστό έλεγχο, με νέο πλαίσιο, εξετάζεται αν η ενημέρωση κώδικα μπορεί να παρακαμφθεί ή αν εισάγει σφάλματα. Το VR-1.1 συντάσσει επίσης δοκιμές παλινδρόμησης. Όταν η επικύρωση αποτυγχάνει, η προηγούμενη ανάλυσή του και οι πληροφορίες για την αστοχία καθοδηγούν μια νέα προσπάθεια.

Μια επιδιόρθωση στο Fiber στην πράξη

Μία από τις καταγεγραμμένες εκτελέσεις αφορούσε την CVE-2025-48075 στο διαδικτυακό πλαίσιο εργασίας Fiber. Το συμβουλευτικό δελτίο ασφαλείας του έργου αναφέρει ότι ένας αρνητικός δείκτης σε ένθετα δεδομένα φόρμας μπορεί να προκαλέσει πανικό στη μέθοδο BodyParser και να καταρρεύσει ο διακομιστής, δημιουργώντας κίνδυνο άρνησης υπηρεσίας. Ως επηρεαζόμενες εκδόσεις αναφέρει τις εκδόσεις από την 2.52.6 και μετά, ενώ ως έκδοση με την επιδιόρθωση αναφέρει την 2.52.7.

Το VR-1.1 αναπαρήγαγε την κατάρρευση και πρόσθεσε έναν έλεγχο ορίων πριν από τη χρήση του δείκτη, απορρίπτοντας αρνητικούς ή υπερβολικά μεγάλους δείκτες, ενώ διατηρούσε τον ορθό χειρισμό των φορμών. Η Cogent αναφέρει ότι στη συνέχεια πέρασαν και οι εννέα έλεγχοι ευπαθειών, έναντι μηδενός προηγουμένως, ενώ και οι 12 έλεγχοι λειτουργικότητας πέρασαν τόσο πριν όσο και μετά. Το παράδειγμα προήλθε από ξεχωριστή καταγεγραμμένη εκτέλεση με 182 εργασίες και όχι από την τελική αξιολόγηση των 190 εργασιών.

Περιορισμοί της αξιολόγησης και χρήση στην παραγωγή

Κατά την επιδιόρθωση, η αξιολόγηση απέκλειε την εξερχόμενη πρόσβαση στο δίκτυο και δεν παρείχε στους πράκτορες τις δοκιμές βαθμολόγησης του LiveCVEBench μέχρι να ολοκληρώσουν. Αυτές οι συνθήκες απέτρεπαν την ανάκτηση μιας upstream επιδιόρθωσης ή την άμεση χρήση των δοκιμών βαθμολόγησης κατά την επιδιόρθωση.

Η Cogent επισημαίνει ότι τα όρια των δεδομένων εκπαίδευσης και των δύο μοντέλων αναφοράς είναι μεταγενέστερα από τις ημερομηνίες δημοσίευσης των CVE στην τρέχουσα έκδοση του LiveCVEBench. Αυτό σημαίνει ότι οι σχετικές ανακοινώσεις ασφαλείας και επιδιορθώσεις θα μπορούσαν να περιλαμβάνονται στα δεδομένα εκπαίδευσής τους. Η εταιρεία αναφέρει ως περιορισμούς αυτού του πλεονεκτήματος τις περιγραφές εργασιών που έχουν τη μορφή αναφορών χρηστών, τον αποκλεισμό της δικτύωσης και τις ίδιες συνθήκες για όλα τα μοντέλα.

Στους δειγματοληπτικούς ελέγχους της Cogent, τα μοντέλα μπορούσαν να περιγράψουν από μνήμης ορισμένες ευπάθειες, αλλά δεν αναπαρήγαγαν ακριβείς ενημερώσεις κώδικα. Η εταιρεία δημιουργεί επίσης ένα σύνολο εργασιών από CVE που δημοσιοποιήθηκαν μετά τα αντίστοιχα χρονικά όρια και σχεδιάζει να το διατηρεί ενημερωμένο.

Το LiveCVEBench δοκιμάζει γνωστές ευπάθειες σε απομονωμένα περιβάλλοντα, και επιτυχία σημαίνει ότι ικανοποιούνται οι παρεχόμενοι έλεγχοι. Η Cogent αναφέρει ότι για την ανάπτυξη στην παραγωγή εξακολουθούν να απαιτούνται έλεγχος και δοκιμές στο περιβάλλον προορισμού. Εντάσσει το VR-1.1 στη ροή εργασιών αποκατάστασης, συνοδεύοντας κάθε ενημέρωση κώδικα με τη διάγνωση, το παράδειγμα που αποδεικνύει την ευπάθεια και τις δοκιμές, ώστε να τα εξετάζει ο αξιολογητής. Επομένως, το αποτέλεσμα του συνόλου αξιολόγησης μετρά επιδιορθώσεις που πέρασαν ελέγχους υπό ελεγχόμενες συνθήκες· η χρήση στην παραγωγή εξακολουθεί να εξαρτάται από την επικύρωσή τους στο περιβάλλον όπου θα εκτελείται το λογισμικό.