Cohere намерена купить AISLE, нашедшую уязвимости OpenSSL

Подробно

Что известно о сделке Cohere и AISLE?

О подписании письма о намерениях компании объявили 15 октября 2026 года. Cohere называет договорённость предлагаемой сделкой (proposed agreement). Поглощение ещё не завершено. AISLE прямо связывает дальнейшие изменения с моментом закрытия сделки.

Сооснователи AISLE Ондржей Влчек, Джая Балу и Станислав Форт выпустили совместное заявление:

«Сегодня мы объявляем, что AISLE и Cohere подписали письмо о намерениях о приобретении AISLE компанией Cohere. Для AISLE и нашей команды начинается новая глава».

Когда сделка будет закрыта, пражская штаб-квартира AISLE станет офисом Cohere в Праге. Клиентам основатели обещают, что обслуживание продолжится без перерывов: «Для клиентов и партнёров AISLE главное - непрерывность работы и более сильные продукты. Мы расскажем больше по мере продвижения сделки». План интеграции продуктов и сроки миграции пока не раскрыты.

Финансовые условия не раскрыты. Неизвестны цена, валюта расчёта, структура оплаты и оценка стартапа. Также не опубликованы предполагаемая дата закрытия, обязательные условия и перечень регуляторных согласований, если они нужны.

Источники по-разному описывают, где находится AISLE. Сама компания называет своей штаб-квартирой Прагу. Reuters пишет, что это стартап из Сан-Франциско с инженерным центром в Праге.

Что такое Cohere Cyber и кто его возглавит?

Cohere Cyber - подразделение, которое планируют создать на базе команды AISLE. Оно будет заниматься решениями по кибербезопасности для клиентов Cohere. Пока его нет: создание подразделения и назначения руководителей описаны как события после закрытия сделки.

Запланированные назначения:

• Ондржей Влчек, сооснователь и генеральный директор AISLE, станет старшим вице-президентом Cohere Cyber (Senior Vice President).
• Джая Балу, сооснователь, операционный директор и CISO AISLE, станет глобальным директором Cohere по информационной безопасности.
• Станислав Форт, сооснователь, технический директор и главный научный сотрудник AISLE, станет вице-президентом Cohere по безопасности ИИ (Vice President, AI Security). Он возглавит исследования в этой области и будет работать с сооснователем и техническим директором Cohere Иваном Чжаном, чтобы связать исследования безопасности с разработкой и обучением базовых моделей.

Все трое сооснователей заявили, что продолжат работать над прежней миссией вместе с более широкой командой. Сколько сотрудников AISLE перейдёт в Cohere, не сообщается.

Cohere хочет использовать технологии AISLE для обнаружения угроз в корпоративных и государственных системах, наблюдения за ИИ-агентами и защиты чувствительных данных. Решения должны разворачиваться в частном облаке, на собственной инфраструктуре заказчика и в полностью изолированных средах (air-gapped). Позиция Cohere: «Всё более мощные ИИ-системы меняют и кибербезопасность, и угрозы, с которыми сталкиваются организации, поэтому защитные возможности должны развиваться так же быстро».

Чем занимается AISLE?

AISLE основана в 2025 году. Компания разрабатывает автономные системы, которые находят и проверяют ранее неизвестные уязвимости в сложном промышленном ПО и помогают их исправлять. Подход сочетает базовые модели, работу специалистов, масштабный анализ кода, проверку результатов и автоматическое создание исправлений.

16 октября 2025 года AISLE вышла из скрытого режима и представила автономную Cyber Reasoning System. Тогда компания сообщила, что за первые недели работы анализатор нашёл более 100 новых уязвимостей в Linux, OpenSSL, curl и Apache.

Платформа AISLE уже доступна корпоративным клиентам. Её можно развернуть в облаке, на инфраструктуре заказчика или в изолированной среде. Публичной цены нет, и подтверждения доступности сервиса в России не найдено.

Какие уязвимости AISLE нашла в OpenSSL?

27 января 2026 года OpenSSL выпустил исправленные версии 3.6.1, 3.5.5, 3.4.4, 3.3.6, 3.0.19, 1.1.1ze и 1.0.2zn. Они закрывают 12 CVE: CVE-2025-11187, CVE-2025-15467, CVE-2025-15468, CVE-2025-15469, CVE-2025-66199, CVE-2025-68160, CVE-2025-69418, CVE-2025-69419, CVE-2025-69420, CVE-2025-69421, CVE-2026-22795 и CVE-2026-22796.

Технический директор OpenSSL Foundation Томаш Мраз подтвердил, что обо всех 12 проблемах проекту сообщила AISLE:

«Этот выпуск исправляет 12 проблем безопасности, обо всех нам сообщила Aisle. Мы ценим высокое качество этих отчётов и конструктивное сотрудничество на всём протяжении исправления».

Самой серьёзной оказалась CVE-2025-15467 с оценкой High: при определённых условиях она могла привести к удалённому выполнению кода. Остальные проблемы - отказ в обслуживании, аварийное завершение, ошибки памяти и обработки данных.

По словам AISLE, все 12 уязвимостей обнаружила её ИИ-система, а затем их проверила исследовательская команда компании. Сообщения передавали OpenSSL по процедуре ответственного раскрытия начиная с августа 2025 года. Для части проблем исследователи AISLE предложили патчи, которые вошли в официальный релиз.

Сколько уязвимостей AISLE нашла в curl?

14 октября 2026 года, за день до анонса сделки, вышел curl 8.23.0. Основатель и ведущий разработчик curl Даниэль Стенберг сообщил, что релиз содержит 24 исправления безопасности. По данным AISLE, 18 из них - результат её аудита, то есть 75% выпуска. Всего один цикл аудита дал 24 CVE в двух релизах: шесть в curl 8.22.0 и 18 в curl 8.23.0.

Важное уточнение: 24 исправления безопасности в curl 8.23.0 закрывают уязвимости более ранних версий. В самой версии 8.23.0 их нет: официальная таблица curl не показывает для неё известных уязвимостей.

На странице аудитов проекта curl сказано, что исследования AISLE с сентября 2025-го по октябрь 2026 года привели к сотням исправлений ошибок и 35 опубликованным уязвимостям. AISLE также сообщает о 160 исправлениях обычных ошибок, но эту цифру приводит только сама компания.

Стенберг оценил сотрудничество положительно. Он назвал отчёты подробными и точными и отметил, что AISLE помогла проекту быстрее находить и исправлять уязвимости:

«Aisle нашла в curl больше CVE, чем любая другая группа или человек до неё, а сотрудники Aisle уже написали в curl несколько десятков коммитов».

В комментарии TechTarget он добавил: «Главный вывод в том, что современные анализаторы кода на основе ИИ находят ошибки так, как раньше не находило ничто. Теперь задача - разобраться со всеми этими находками и исправить их».

Насколько можно доверять цифре в 500 уязвимостей?

Показатель «более 500 CVE в более чем 100 кодовых базах» опубликовала AISLE, а Cohere его повторила. Отдельные крупные серии подтверждены сопровождающими проектов: OpenSSL признал все 12 январских сообщений, curl - 35 опубликованных CVE. Независимой сводной проверки всех 500 с лишним записей нет.

Новость не основана на рецензируемом исследовании. AISLE описывает свой процесс: параллельный анализ несколькими моделями, автоматическую проверку, воспроизводимые примеры, разбор находок людьми и проверку сопровождающими. При этом компания не публикует для всего массива контролируемый эксперимент, датасет, оценку полноты поиска или общую долю ложных срабатываний.

Существуют и другие ограничения:

• номер CVE подтверждает уязвимость, но не доказывает, что ИИ нашёл её полностью автономно, без участия человека;
• данных о том, что злоумышленники использовали в реальных атаках какую-либо из 18 находок AISLE в curl, нет;
• издание DiggingBeagle напоминает, что присвоение CVE и принятие исправления не доказывают эксплуатацию уязвимости. Соотношение 18 из 24 описывает конкретный выпуск и не говорит об эффективности модели на произвольном коде.

Автор TechTarget Крейг Гэлбрейт считает, что аудит curl показывает: даже зрелые и многократно проверенные компоненты цепочки поставок ПО содержат скрытые уязвимости. Новым ограничением он называет способность сопровождающих проверять и исправлять растущий поток находок. Бывший CISO и следователь ФБР Джеймс Моррисон (Dataprise) говорит о риске теневых ИТ:

«Из-за самой природы теневых ИТ, если у корпоративной службы безопасности нет обзора всей компании, неизвестное ПО и его уязвимость обнаруживаются только тогда, когда уязвимость уже эксплуатируют».

Как сделка вписывается в стратегию Cohere?

Reuters связывает планируемую покупку с ростом европейского присутствия Cohere и усилением её возможностей в безопасности и обнаружении угроз для коммерческих и государственных клиентов.

Это не первая подобная сделка Cohere в 2026 году. 19 мая компания объявила о покупке Reliant AI - стартапа для биофармацевтики и здравоохранения, который работает в Монреале и Берлине. 24 апреля Cohere и немецкая Aleph Alpha объявили о планируемом объединении в области суверенного ИИ. Компании Schwarz Group заявили, что намерены выделить проекту €500 млн (около $600 млн) структурированного финансирования. Эти суммы относятся к проекту с Aleph Alpha, а не к покупке AISLE. В официальных материалах Cohere отношения с Aleph Alpha называются партнёрством, а Reuters и ряд изданий пишут о слиянии.