IBM prevede di aggiungere la scansione di Claude Mythos a Concert Protect

IBM ha annunciato il 9 novembre 2026 che intende integrare le capacità di ragionamento informatico di Claude Mythos di Anthropic in Concert Protect, con l’obiettivo di individuare vulnerabilità finora sconosciute, verificare se siano sfruttabili e accelerare la correzione. La disponibilità generale è prevista per l’inizio del 2027.

La funzionalità prevista combinerebbe la scansione del codice basata sull’IA di Mythos con gli strumenti di gestione dell’esposizione di Concert Protect. Analizzerebbe i repository applicativi selezionati dai clienti alla ricerca di difetti logici complessi, potenziali vulnerabilità zero-day e altre debolezze prive di firme o record Common Vulnerabilities and Exposures (CVE), quindi integrerebbe i risultati nello stesso ciclo di gestione delle vulnerabilità utilizzato per quelli dei tradizionali scanner.

Questo approccio riflette la convinzione di IBM che una individuazione più rapida basata sull’IA accresca l’importanza della definizione delle priorità e della correzione. Un flusso più ampio di risultati ha un valore operativo limitato se i team di sicurezza non riescono a stabilire quali difetti offrano percorsi di attacco praticabili e a tradurre questa valutazione in correzioni.

Convalida contestuale delle vulnerabilità sconosciute

Concert Protect fornisce già l’analisi dell’ambiente in cui confluirebbero questi risultati. La documentazione attuale del prodotto descrive una piattaforma che mette in correlazione codice, applicazioni, infrastruttura, ambiente di esecuzione e contesto aziendale per valutare se una vulnerabilità sia sfruttabile in uno specifico ambiente. L’analisi mira a individuare i prerequisiti dell’attacco, i carichi di lavoro interessati e i potenziali percorsi di attacco, fornendo elementi probanti che vanno oltre i punteggi di gravità e le stime generiche di sfruttabilità.

Per un risultato generato da Mythos, la fase prevista di verifica della sfruttabilità esaminerebbe il codice, la configurazione e il contesto dell’infrastruttura per valutare i percorsi di sfruttamento praticabili e fornire elementi probanti a supporto. Tutti questi risultati resterebbero nel flusso di lavoro consolidato di valutazione e correzione di Concert Protect, insieme a quelli degli scanner tradizionali, anziché confluire in una coda separata di avvisi generati dall’IA.

IBM descrive inoltre Secure Coder come uno strumento che rileva vulnerabilità, segreti e rischi legati alle dipendenze mentre si scrive il codice, offrendo informazioni in tempo reale all’interno dell’ambiente di sviluppo integrato e correzioni guidate. Il progetto relativo a Mythos punta a un obiettivo complementare: analizzare repository selezionati alla ricerca di debolezze finora sconosciute che i tradizionali scanner potrebbero non rilevare.

Approvazione degli sviluppatori durante la correzione

Dopo la convalida, Concert Protect e Red Hat Lightwell dovrebbero stabilire le priorità dei rischi sfruttabili, attingere a correzioni open source retroportate e affidabili e generare modifiche mirate per la correzione. Gli sviluppatori convaliderebbero, esaminerebbero e approverebbero tali modifiche tramite flussi di lavoro automatizzati basati su richieste pull.

Questo processo affida all’automazione la preparazione delle correzioni e il coordinamento del flusso di lavoro, mantenendo al contempo una decisione esplicita in capo a una persona sull’opportunità di procedere con una correzione. Collega inoltre la definizione delle priorità di sicurezza allo sviluppo e alla gestione operativa delle applicazioni, riunendo i team che Concert Protect già coinvolge nella correzione delle vulnerabilità.

Disponibilità prevista per l’inizio del 2027

L’annuncio distingue il progetto rivolto ai clienti dalle precedenti attività di Project Glasswing condotte da IBM e Anthropic, incentrate sulla ricerca e sulla valutazione interne in ambito di sicurezza. L’integrazione con Concert mira a offrire le capacità di Mythos ai clienti aziendali tramite flussi di lavoro regolamentati per le operazioni di sicurezza, con la revisione degli sviluppatori come punto di controllo concreto.

La disponibilità prevista per l’inizio del 2027 significa che queste funzionalità integrate non sono ancora disponibili al pubblico. La ripartizione dei compiti proposta è tuttavia chiara: Mythos amplierebbe l’individuazione oltre le firme note, Concert Protect verificherebbe i risultati nell’ambiente del cliente e gli sviluppatori manterrebbero l’approvazione delle correzioni. In fase di implementazione, la questione operativa è se questa combinazione possa trasformare un insieme più ampio di debolezze individuate dall’IA in priorità adeguatamente documentate e correzioni approvate, senza creare un ulteriore flusso di lavoro di sicurezza scollegato.