摘要： Cognition在2026年7月1日推出Devin Security Swarm，用平行代理掃描程式碼、在沙箱驗證漏洞可利用性，再開出由人類審核的修補PR。官方自辦的50個真實漏洞評測中，Devin Security宣稱檢出率高於Claude Security的68%，單次成本則低於其131.87美元。這把安全修補推向代理提案、人類核准的流程，但廠商自家評測仍應保守解讀。
Cognition 在 2026 年 7 月 1 日推出 Devin Security Swarm，等於是讓旗下的 AI 軟體工程師 Devin 把工程本領交給安全團隊調度：自動掃遍整個程式碼庫把漏洞找出來、放進隔離沙箱驗明是否真的可被利用，接著把修補 PR 開好、交由人類審查把關。官方的定位毫不含糊——市面上不缺掃描器，這是一款讓安全團隊能「自己把修補送出去」的代理型產品。就在同一週，Cognition 剛端出 Devin Fusion，讓前沿效能的成本一口氣降了六成；Security Swarm 等於把這場成本之戰一舉推進到漏洞修補。
掃描警報海嘯下的核心難題
Cognition 描述市場痛點時沒有拐彎抹角：某些團隊眼下的安全通報量「比以往多 10 到 100 倍」，其中夾雜大量誤報。既有的掃描器也好、泛用型 AI 工具也罷，共同的弱點都是做不了業務邏輯的推理、串接式攻擊的拆解，也讀不出整個程式碼庫的脈絡——而最危險的漏洞恰恰就藏在那裡。Devin Security Swarm 的解法，是補上這段跨檔案推理的能力，並把最終產出改成一份通過驗證、確定可利用的漏洞清單；畢竟光憑規則和模式比對，只會再灌進更多等著人工分流的警報。
swarm 的完整工作流：從發現、驗證到修補
實際運行時，是一群代理（swarm）平行分工，各認領程式碼庫的一個區段，分頭做跨檔案推理；接著 Devin 把零散的發現接合起來，還原出一條條攻擊路徑的完整樣貌，再放進沙箱裡逐條重跑，要等到漏洞被驗明「確實可利用」，才會對外回報。安全團隊拿到的成品，是驗證過的漏洞，而且攻擊路徑、重現步驟一併附上；修補程式同樣出自代理之手，以 remediation PR 的形式提交，待工程師審核通過才合併。過去分屬不同團隊的「找到、證實、修好」三件事，就這樣被收進同一條工作流——面對那些出了報告就收工的傳統工具，這正是最根本的分野。
評測數據的正確讀法
Cognition 以 50 個真實漏洞當評測題庫，每一題都對得上公開的 GitHub Security Advisories，語言涵蓋超過 14 種。成績分別是：Devin Security 檢出率 72%，每次掃描 90.23 美元；Claude Security 檢出率 68%，花費 131.87 美元；Codex Security 檢出率 48%，花費 118.20 美元；Cursor Security 檢出率 26%，4.60 美元。漏報那一側反而更能分出高下：有三個關鍵漏洞是其他工具全部放過、唯獨 Devin 抓到的——分別是 PHP 模板注入造成的沙箱繞過、中繼資料解析環節的參數注入，以及 Spring Kafka 那個開得過大的反序列化介面。Cognition 據此宣稱，比起最接近的競品，自己花的成本少 30%，找出的已驗證漏洞卻更多。當然，廠商自己辦的測試要打折扣看待，但至少它把檢出率、單次成本放上同一把尺攤開來比，這已是這個品類理應具備的透明度。
設定門檻與企業端修補方案
採用的門檻被刻意壓低：掃描設定檔能從手上現成的威脅模型文件直接產出，不必一個個儲存庫去設定，CI 也不必動；排程可選每天、每週或自訂週期，而後續掃描只看有變動的程式碼，成本會隨使用時間一路遞減。產品現在就上線可用，若干大型公司已經拿它跑例行掃描。至於漏洞積壓嚴重的企業，Cognition 另在 7 月 2 日宣布為時六週的 Security Vulnerability Remediation Program：由前進部署工程師進駐客戶端，和客戶團隊協同作業，先請 Devin 把積欠的 CVE 逐一結清，再把發現、修補兩件事做成常態流程；Snyk、SonarQube、Semgrep 這類現成掃描器都接得起來，新舊工具於是並存互補，而非彼此取代。
工程與安全兩端該讀出的訊息
首先，安全修補自此進入由「代理提案、人類核准」構成的新節奏；審查與合併 PR 的權限依舊握在工程師手裡，而這正是此類工具過組織那一關的設計關鍵。其次，「驗證可利用性」一躍成為新的差異化戰場——誤報吃掉的是工程時間，漏報留下的是真實風險，而沙箱重現能把兩端同時往下壓，安全報告也頭一回具備「可重現」這項工程級標準。最後，這個品類衡量價值的單位，已經定型為「每次掃描的成本乘上檢出率」，往後挑選同類工具，團隊大可要求廠商在同一套基準上交出數據，而不必只聽形容詞。在通報量以十倍速暴增的年代，讓代理接手分流與初稿、把判斷權留在人類手上，就是安全工程裡的固定分工。