A Cogent Security vulnerabilidade ganhou um novo instrumento em 3 de novembro de 2026: o VR-1.1, modelo de fronteira treinado para reparar falhas de segurança em código. O resultado no LiveCVEBench — o principal benchmark público de reparo de vulnerabilidades — colocou o modelo acima do Claude Code e do Codex em uma margem de 12,6 pontos percentuais.

Como o VR-1.1 aborda a Cogent Security vulnerabilidade

O LiveCVEBench usa um conjunto de 190 tarefas baseadas em CVEs reais, em 153 repositórios e 14 linguagens de programação. Para cada tarefa, o agente recebe um relatório de vulnerabilidade e o código afetado, sem acesso à internet e sem ver os testes de avaliação antes de concluir. Um patch só é aprovado se passar nas verificações de segurança (a falha foi fechada) e nas de funcionalidade (o software continua funcionando).

O VR-1.1 terminou com 57,9% de tarefas aprovadas. O Claude Code, operando com o modelo Opus 5.5, e o Codex, operando com o GPT-5.6-Cyber, ficaram em 45,3% cada. Todos receberam as mesmas entradas, a mesma configuração e três tentativas por tarefa, com a pontuação baseada no patch final.

O que diferencia o modelo

O VR-1.1 combina treinamento orientado a reparos de segurança com um framework que reproduz a falha, aplica o patch e testa se há formas de contorná-lo. Quando o ambiente permite, o modelo cria uma prova de conceito que dispara a vulnerabilidade antes de corrigi-la. Depois, procura outros trechos de código que compartilhem a mesma fraqueza — uma etapa que modelos genéricos costumam pular.

Um exemplo: o CVE-2025-48075 no framework Fiber (Go) causava pânico no servidor com um índice negativo em dados de formulário. O VR-1.1 reproduziu o crash, adicionou uma verificação de limites e fez as 9 verificações de vulnerabilidade passarem, sem quebrar nenhum dos 12 testes funcionais existentes.

A Cogent adverte que modelos de base têm datas de corte de treinamento que podem incluir informações sobre CVEs mais antigos — o que poderia inflar resultados. Para atenuar isso, o benchmark bloqueia a rede, usa descrições padronizadas e aplica as mesmas condições a todos. A empresa planeja lançar um conjunto de tarefas só com CVEs publicados após as datas de corte de cada modelo.

Por que isso importa para o seu negócio

Agentes autônomos de segurança estão saindo dos laboratórios para o uso em produção. Já existem ferramentas como o relay malicioso para Claude Code que demonstram quanto código gerado por IA pode ser explorado. Um modelo especializado como o VR-1.1 fecha o ciclo: detecta e corrige vulnerabilidades no próprio processo de desenvolvimento, antes que o código vá ao ar.

Para times que já usam agentes de código, a mensagem prática é: vale comparar modelos generalistas com especializados em segurança ao montar pipelines de revisão automatizada. A diferença de 12,6 pontos percentuais no benchmark não garante resultados idênticos em produção, mas sinaliza que especialização importa nesse domínio. O Claude Mythos 5.5, por exemplo, foi desenvolvido com foco em cibersegurança — mas o VR-1.1 mostrou que modelos construídos do zero para reparos performam diferente de modelos adaptados.

Todo patch gerado pelo VR-1.1 vem acompanhado de diagnóstico, prova de conceito e testes, o que facilita a revisão humana antes de qualquer merge em produção. Mais detalhes no comunicado oficial da Cogent Security.

O avanço em Cogent Security vulnerabilidade reflete uma tendência: modelos treinados especificamente para segurança tendem a superar generalistas no mesmo domínio.

Conteúdo reescrito e traduzido para PT pela redação luiscortex, revisado por humano.

Fonte: unite.ai