Технічний контекст
Я уважно подивився, що саме випустила Cisco, і ідея дуже практична: не черговий "універсальний кодовий помічник", а вузький інструмент для локалізації вразливостей. Antares отримує опис вразливості та репозиторій, а потім намагається звузити пошук до файлів, де, найімовірніше, ховається баг. Для AI-імплементації в DevSecOps це значно корисніше, ніж ще один чат-бот із гарними відповідями.
Спочатку відкрили Antares-350M та Antares-1B, а Antares-3B у Cisco заявлений наступним. Моделі open-weight, за вторинними джерелами під Apache 2.0, і це одразу робить їх цікавими для локального запуску в закритих контурах. Якщо у вас чутливий код, це вже не дрібниця, а головний аргумент.
Технічно Antares не замінює CodeQL чи Semgrep. Я б описав його як агентного дослідника репозиторію: він ходить по файлах, використовує щось на кшталт grep, find, cat, збирає сліди та повертає ранжований список підозрілих файлів плюс трасу своїх кроків. Це не детектор і не патчер, а машина для звуження зони пошуку.
Ще один цікавий момент: Cisco пише про двоетапне навчання, де спочатку йде supervised fine-tuning, а потім reinforcement learning із перевірюваною винагородою на вразливих репозиторіях. База, судячи з техзвіту та оглядів, спирається на IBM Granite 4.0. За архітектурою без сюрпризів: decoder-only transformer, GQA, SwiGLU, RMSNorm, RoPE.
І ось де я реально пригальмував: Cisco заявляє дуже дешевий прогін на вузькій задачі. У переказах фігурує оцінка рівня 500 кейсів за 15 хвилин на одній GPU і менше ніж за долар. Якщо це підтверджується на реальних репах, то перед нами не демонстрація, а цілком робочий шар AI-інтеграції в secure SDLC.
Вплив на бізнес та автоматизацію
Виграють команди, яким не можна виносити код назовні і які втомилися тонути у величезних монорепах. Antares може стати проміжним фільтром перед ручним рев’ю, CodeQL і Semgrep, щоб не ганяти важку перевірку по всьому дереву наосліп.
Програють ті, хто чекає кнопку "знайди та полагодь усе". Це не заміна статичному аналізу і не фінальний арбітр щодо exploitability. Без нормальної AI-архітектури та чіткого пайплайну модель легко перетворити на шумний експеримент.
Я б дивився на Antares як на дешевий локальний шар triage: прийняти CVE або advisory, пробігтися по репозиторію, виділити гарячі файли, а далі вже підключати існуючі security-інструменти та людей. Ми в Nahornyi AI Lab якраз збираємо такі AI-рішення для бізнесу не заради вау-ефекту, а щоб команда витрачала менше годин на рутину і швидше добиралася до реально небезпечних місць. Якщо хочете вбудувати таку AI-автоматизацію у ваш DevSecOps без цирку та витоків коду, можна спокійно розібрати ваш пайплайн та зібрати рішення під ваші обмеження.