IBM aikoo lisätä Claude Mythos -skannauksen Concert Protectiin

IBM ilmoitti 9. marraskuuta 2026 aikovansa lisätä Anthropic-yhtiön Claude Mythosin kyberpäättelykyvyn Concert Protectiin. Tavoitteena on löytää aiemmin tuntemattomia haavoittuvuuksia, varmistaa, voidaanko niitä hyödyntää, ja nopeuttaa niiden korjaamista. Yleisen saatavuuden tavoitteeksi on asetettu vuoden 2027 alku.

Suunnitellussa ominaisuudessa yhdistettäisiin Mythosin tekoälyyn perustuva koodin skannaus Concert Protectin altistumien hallintatyökaluihin. Se tarkastaisi asiakkaan valitsemat sovellusrepositoriot monimutkaisten logiikkavirheiden, mahdollisten nollapäivähaavoittuvuuksien ja muiden heikkouksien varalta silloinkin, kun niillä ei ole olemassa olevia tunnisteita tai Common Vulnerabilities and Exposures (CVE) -tietueita. Sen jälkeen havainnot siirrettäisiin samaan haavoittuvuuksien hallinnan elinkaareen kuin perinteisten skannereiden tulokset.

Tämä suunnitteluratkaisu heijastaa IBM:n näkemystä siitä, että nopeampi tekoälypohjainen löytäminen kasvattaa triage- ja korjaustyön merkitystä. Suuresta havaintomäärästä on vain vähän käytännön hyötyä, jos tietoturvatiimit eivät pysty selvittämään, mitkä haavoittuvuudet tarjoavat toteuttamiskelpoisia hyökkäysreittejä, ja muuttamaan arviota korjauksiksi.

Tuntemattomien haavoittuvuuksien kontekstuaalinen arviointi

Concert Protect tarjoaa jo ympäristökohtaisen arvioinnin, johon nämä havainnot siirtyisivät. Sen nykyisessä tuotedokumentaatiossa kuvataan alusta, joka yhdistää koodiin, sovellukseen, infrastruktuuriin, ajonaikaiseen ympäristöön ja liiketoimintaan liittyvän kontekstin arvioidakseen, voidaanko haavoittuvuutta hyödyntää tietyssä ympäristössä. Analyysin tarkoituksena on tunnistaa hyökkäyksen edellytykset, haavoittuvat kuormitukset ja mahdolliset hyökkäysreitit sekä tarjota näyttöä vakavuuspisteiden ja yleisluonteisten hyödynnettävyysennusteiden lisäksi.

Mythosin tuottaman havainnon kohdalla suunnitellussa hyödynnettävyyden todentamisvaiheessa tarkasteltaisiin koodia, kokoonpanoa ja infrastruktuurin kontekstia, jotta voitaisiin arvioida toteuttamiskelpoisia hyökkäysreittejä ja esittää niitä tukevaa näyttöä. Jokainen tällainen havainto pysyisi Concert Protectin vakiintuneessa arviointi- ja korjaustyönkulussa perinteisten skannereiden tulosten rinnalla sen sijaan, että siitä tulisi erillinen tekoälyhälytysten jono.

IBM kertoo myös, että Secure Coder havaitsee haavoittuvuuksia, salaisuuksia ja riippuvuuksiin liittyviä riskejä koodia kirjoitettaessa. Se tarjoaa reaaliaikaista tietoa integroidussa kehitysympäristössä sekä ohjattuja korjauksia. Mythos-suunnitelma kohdistuu täydentävään tarpeeseen: valittujen repositorioiden analysointiin aiemmin tuntemattomien heikkouksien löytämiseksi, sillä perinteiset skannerit eivät välttämättä havaitse niitä.

Kehittäjien hyväksyntä korjaustyössä

Validoinnin jälkeen Concert Protectin ja Red Hat Lightwellin on tarkoitus asettaa hyödynnettävissä olevat riskit tärkeysjärjestykseen, hyödyntää luotettavia avoimen lähdekoodin korjauksia, jotka on siirretty aiempiin versioihin, ja luoda kohdennettuja korjausehdotuksia. Kehittäjät validoisivat, tarkastaisivat ja hyväksyisivät muutokset automaattisissa vetopyyntöprosesseissa.

Prosessissa automaation vastuulle jäävät korjausten valmistelu ja työnkulun koordinointi, mutta päätös korjauksen etenemisestä säilyy nimenomaisesti ihmisellä. Prosessi yhdistää myös tietoturvan priorisoinnin sovelluskehitykseen ja ylläpitoon eli tiimeihin, jotka Concert Protect jo kokoaa yhteen haavoittuvuuksien korjaamista varten.

Tavoitteena saatavuus vuoden 2027 alussa

Ilmoituksessa erotetaan asiakkaille suunnattu suunnitelma IBM:n ja Anthropicin aiemmasta Project Glasswing -työstä, joka keskittyi sisäiseen tietoturvatutkimukseen ja arviointiin. Concert-integraation tarkoituksena on tarjota Mythosin ominaisuuksia yritysasiakkaille hallittujen tietoturvatoimintojen työnkulkujen kautta, ja kehittäjien tekemä arviointi toimii yhtenä konkreettisena valvontapisteenä.

Vuoden 2027 alkuun asetettu tavoite tarkoittaa, etteivät nämä yhdistetyt ominaisuudet ole vielä yleisesti saatavilla. Ehdotettu työnjako on kuitenkin selkeä: Mythos laajentaisi löytämistä tunnettujen tunnisteiden ulkopuolelle, Concert Protect testaisi havainnot asiakkaan ympäristöä vasten ja kehittäjät säilyttäisivät hyväksyntäoikeuden korjauksiin. Käyttöönoton kannalta keskeinen kysymys on, pystyykö tämä yhdistelmä muuttamaan tekoälyn avulla löydetyn, aiempaa laajemman joukon heikkouksia hyvin perustelluiksi prioriteeteiksi ja hyväksytyiksi korjauksiksi luomatta samalla uutta, muista irrallista tietoturvatyönkulkua.