IBM plant Claude Mythos in Concert Protect

IBM plant Claude Mythos in Concert Protect voor analyse van klantcode, toetsing van kwetsbaarheden en herstelvoorstellen ter goedkeuring door ontwikkelaars, met algemene beschikbaarheid begin 2027, meldt het bedrijf op 9 november.

Een Nederlands softwareteam dat Concert Protect gebruikt, kan straks onbekende fouten in eigen code laten opsporen en ze in hetzelfde beveiligingsproces op misbruikbaarheid laten toetsen voordat een herstelvoorstel wordt beoordeeld. De integratie is nog niet beschikbaar.

Mythos vult de zoekfase aan

Het plan voegt Mythos toe aan een keten die Concert Protect al opbouwt. De AI moet code in de repositories die de klant aanwijst analyseren en complexe logische fouten of mogelijke nieuwe kwetsbaarheden opsporen waarvoor nog geen CVE-nummer bestaat. Zulke bevindingen zouden naast de resultaten van gewone scanners in het kwetsbaarhedenproces verschijnen. IBM noemt nog niet welke aanbieders van broncodeopslag worden ondersteund.

Daarna komt Proof of Exploitability, de bestaande functie van Concert Protect die toetst of een gevonden kwetsbaarheid in de omgeving van de klant werkelijk misbruikt kan worden. De productbeschrijving zegt dat het systeem code, applicatiegegevens, infrastructuur, software tijdens uitvoering en bedrijfscontext samenbrengt om het risico te onderbouwen. Zo combineert IBM Concert Protect code- en infrastructuurgegevens om te toetsen welke kwetsbaarheden in een omgeving uitbuitbaar zijn. De scan en de validatie beantwoorden dus verschillende vragen: waar zit een zwakte, en kan die in deze inrichting tot een bruikbaar aanvalspad leiden?

Voor de reparatiefase noemt IBM Concert Protect samen met Red Hat Lightwell. Die combinatie moet herstelvoorstellen helpen maken, waarna een ontwikkelaar de wijziging goedkeurt. De aankondiging gebruikt ook de formulering “fix it autonomously”, maar belooft geen automatische wijziging in productie. De concreet beschreven stap eindigt bij menselijke goedkeuring.

De bewijslaag bestond al vóór Mythos

IBM kondigde Proof of Exploitability in juli aan als technische proefversie (Tech Preview). De functie koppelt gegevens over applicaties, infrastructuur, draaiende software, identiteiten, netwerken en bedrijfscontext om te bepalen of een fout echt uitbuitbaar is. In een eigen demonstratie bracht IBM meer dan 5.700 bevindingen van verschillende scanners terug tot 12 kwetsbaarheden die volgens het bedrijf aantoonbaar uitbuitbaar waren en directe aandacht vroegen. Dat cijfer komt uit IBM’s voorbeeld van Proof of Exploitability uit juli.

Die demonstratie betrof Concert Protect, niet de geplande Mythos-integratie. IBM geeft geen onafhankelijke meting van de nauwkeurigheid, het aantal foutpositieven of het aantal kwetsbaarheden dat Mythos zelf vindt. De demonstratie laat zien hoe Concert Protect scannerresultaten terugbrengt tot een kortere lijst, maar zegt niets over de prestaties van de nieuwe combinatie.

Een andere route dan de eerdere Mythos-producten

Anthropic opende op 21 augustus Mythos-scans in Claude Security voor Enterprise-klanten met eigen repositories op GitHub.com. Die scans liepen via Anthropics eigen product en werden afgerekend op tokengebruik. IBM wil Mythos juist in Concert Protect laten landen, waar bevindingen naast bestaande scannerresultaten en omgevingscontext komen te staan.

Ook Cisco kondigde een afzonderlijke productroute aan. Cisco richt Mythos in AI Defense op tests van AI-apps en agents; de Cisco-integratie test agentgedrag binnen vooraf geautoriseerde doelen. IBM richt zich op kwetsbaarheden in applicatiecode en de route van vondst naar herstel.

The Register beschreef IBM als een tweede aangekondigde productintegratie na Cisco. Het medium meldde dat het Anthropic vroeg of zulke productdeals Mythos langs meer routes beschikbaar zouden maken, maar bij publicatie nog geen inhoudelijke reactie had ontvangen. De bronnen bevestigen dus de geplande productroute, niet een nieuw algemeen toelatingsbeleid.

Prijs, regio en datavoorwaarden ontbreken

IBM noemt geen prijs, preciezere datum dan begin 2027 of beschikbaarheid voor Nederland en de EU. Ook staat nog niet welke codeopslagplaatsen gekoppeld kunnen worden, hoe broncode wordt verwerkt en bewaard, of welke versie van Mythos de integratie gebruikt. De aankondiging beschrijft waar de functies in het bestaande kwetsbaarhedenproces komen, niet hoe de integratie technisch wordt ingericht.

IBM vermeldt dat uitspraken over toekomstige plannen kunnen veranderen. Dat maakt de timing een doelstelling, geen leverdatum. Ook is de eerdere demonstratie van bewijs van uitbuitbaarheid geen benchmark voor het model: de nieuwe functie moet nog worden uitgerold en de aangekondigde cijfers beschrijven geen testresultaat van Mythos.

Als het plan doorgaat, komt Mythos naast Anthropics eigen routes ook in een bestaand beveiligingsproduct terecht. Cisco richt die productroute op het gedrag van AI-apps en agents; IBM op code, uitbuitbaarheid en herstel. Voor Nederlandse organisaties bepaalt dat onderscheid welk deel van het beveiligingsproces met AI wordt uitgebreid. IBM heeft de algemene beschikbaarheid voor begin 2027 gepland, maar prijs, EU-regio en datavoorwaarden zijn nog niet ingevuld.