Visa führt den Visa Vulnerability Agentic Harness ein. Eine KI, die Sicherheitslücken findet und autonom behebt, bevor ein Mensch den Code überhaupt sieht.

In der Welt der Cybersicherheit gibt es einen Wettlauf, bei dem die Zeit die wichtigste Währung ist. Während menschliche Entwickler oft Tage oder Wochen benötigen, um eine Schwachstelle zu analysieren und einen stabilen Patch zu implementieren, hat der Zahlungsriese Visa einen radikalen Schritt gewagt. Mit dem Visa Vulnerability Agentic Harness (VVAH) führt das Unternehmen ein System ein, das Sicherheitslücken nicht nur findet, sondern sie autonom behebt und direkt in den Produktionscode schreibt – und das, bevor ein menschlicher Prüfer den Code überhaupt gesehen hat.

Ein autonomer Kreislauf aus Angriff und Verteidigung

Das Herzstück des VVAH ist ein hochkomplexer, elfstufiger Prozess. Es handelt sich nicht um einen einfachen Scanner, der lediglich Warnmeldungen ausgibt. Das System identifiziert eine Schwachstelle, schreibt den entsprechenden Fix und unterzieht diesen Patch anschließend einem sogenannten adversarialen Panel. In dieser Phase agiert die KI gegen sich selbst: Ein Teil des Systems versucht gezielt, den gerade erstellten Patch zu brechen oder neue Lücken zu finden.

Erst wenn die Lösung diesen internen Stresstest besteht, editiert der Loop die Quelldateien im Ziel-Repository. Dieser Ansatz des Self-Harming soll sicherstellen, dass die automatisierten Korrekturen nicht nur das ursprüngliche Problem lösen, sondern keine neuen Instabilitäten in die Systemarchitektur einführen. Für Visa ist dieser Prozess der neue Standard, da die Geschwindigkeit, mit der KI-gestützte Angriffe heute agieren, menschliche Reaktionszeiten längst überholt hat.

Die Verschiebung des Flaschenhalses in der IT-Sicherheit

Rajat Taneja, Visas President of Technology, vertritt eine klare These: Das Risiko liegt nicht mehr in der automatisierten Umsetzung, sondern in der Verzögerung. Laut Taneja ist die KI bereits in der Lage, Schwachstellen schneller zu finden, als es in der gesamten Geschichte der Technologieindustrie jemals ein Mensch konnte. Damit habe sich der Flaschenhals verschoben. Es gehe nun nicht mehr primär um die Detektion, sondern um den Beweis, dass ein Problem schnellstmöglich und effektiv behoben wurde.

Diese Philosophie führte dazu, dass Visa den VVAH so konfiguriert hat, dass der geschlossene Kreislauf der Behebung standardmäßig aktiviert ist. Während herkömmliche DevSecOps-Pipelines an einem Authorization Gate enden, an dem ein Mensch die Änderung freigeben muss, überspringt Visa diesen Schritt im Standardmodus. Die Zeitspanne für die Behebung von Fehlern schrumpft dadurch laut Unternehmensangaben von mehreren Wochen auf wenige Stunden.

Kontroversen um die menschliche Kontrolle

Die Entscheidung, den Menschen aus der finalen Entscheidungsschleife zu entfernen, sorgt in der Sicherheitsgemeinschaft für hitzige Debatten. Steve Wilson, Chief AI and Product Officer bei Exabeam und Co-Lead des OWASP Top 10 für LLM-Anwendungen, plädiert für das exakte Gegenteil. In einem Gespräch mit VentureBeat betonte er, dass ein autorisatorisches Gate außerhalb des Modells unerlässlich sei. Die KI könne zwar die exakte Änderung vorschlagen, dürfe sich aber niemals selbst die Befugnis erteilen, diese im Live-System umzusetzen.

Die Sorge der Kritiker ist fundiert: Autonome Systeme, die kritische Infrastrukturen modifizieren, könnten bei einem Fehlurteil der KI kaskadierende Effekte auslösen. Visa kontert dieses Argument mit der Behauptung, dass die rigorosen automatisierten Tests eine höhere Sicherheitsbasis bieten als die oft fehleranfällige und langsame menschliche Überprüfung.

Von Project Glasswing zur Open-Source-Strategie

Die technologische Basis des VVAH liegt in der Zusammenarbeit mit Anthropic im Rahmen von Project Glasswing. Dabei wurde das Modell Claude Mythos auf die Netzwerke angesetzt, die Milliarden von täglichen Transaktionen verarbeiten. Die Beobachtung, wie das Modell semantisches Reasoning nutzt, um kleine Schwachstellen zu einer funktionierenden Exploit-Kette zu verknüpfen, war der Auslöser für die Entwicklung des Harness. Visa erkannte, dass die Fähigkeit zur semantischen Schlussfolgerung der Schlüssel ist, um nicht nur Muster zu erkennen, sondern Logikfehler im Code zu verstehen.

Interessant ist die Entscheidung, dieses mächtige Werkzeug als Open Source auf GitHub zur Verfügung zu stellen. Seit dem Release im Juni 2026 hat das Projekt eine beachtliche Resonanz erfahren:

Das Projekt stieg von knapp 600 Sternen im Juli auf über 2.300 Sterne bis Ende August an, wobei die Quote der Klone im Verhältnis zu den Besuchern bei etwa 9 Prozent liegt.

Diese Offenheit dient nicht nur der Community, sondern positioniert Visa als Technologieführer im Bereich der KI-Orchestrierung. Parallel dazu erweitert das Unternehmen seine Beratungspraxis Visa Consulting & Analytics, um Kunden bei der Operationalisierung solcher KI-gestützten Sicherheitsstrategien zu unterstützen.

Integration in globale Sicherheitsallianzen

Visa agiert hier nicht isoliert. Die Integration des VVAH in ein breiteres Ökosystem wird durch die Mitgliedschaft in der Open Secure AI Alliance von NVIDIA sowie die Beteiligung an Project Lightwell von IBM und Red Hat unterstrichen. Letzteres ist ein Milliardenprojekt, das darauf abzielt, die Sicherheit von KI-Systemen auf industriellem Niveau zu skalieren. Durch die Unterstützung verschiedener KI-Modelle innerhalb des Frameworks reduziert Visa die sogenannte Mean Time to Adapt, also die Zeit, die benötigt wird, um das System an neue Bedrohungsszenarien oder neue Modellgenerationen anzupassen.

Die Entwicklung zeigt einen klaren Trend: Die Rolle des Sicherheitsingenieurs wandelt sich. Weg vom manuellen Schreiben von Patches, hin zur Definition von High-Level-Policies und dem Management von Ausnahmefällen. Die KI übernimmt die operative Ausführung, während der Mensch zum Strategen und Aufseher wird, der die Leitplanken des Systems definiert.

Bedeutung für den DACH-Markt: Zwischen Effizienz und Regulierung

Für Unternehmen in Deutschland, Österreich und der Schweiz wirft der Ansatz von Visa grundlegende Fragen auf, insbesondere im Kontext des EU AI Act. Die autonome Modifikation von Produktionscode in einer kritischen Infrastruktur könnte unter die Kategorien mit hohem Risiko fallen, was strenge Anforderungen an die menschliche Aufsicht (Human Oversight) stellt. Ein System, das standardmäßig ohne menschliche Prüfung deployt, könnte in der EU regulatorische Hürden finden, die in den USA weniger präsent sind.

Gleichzeitig bietet die Technologie eine enorme Chance für den deutschen Mittelstand und die Industrie 4.0. Viele Unternehmen leiden unter einem massiven Mangel an Cybersicherheitsexperten. Ein Tool wie der Visa Vulnerability Agentic Harness könnte die Lücke schließen, indem es die Routinearbeit der Patch-Erstellung automatisiert und die wenigen verfügbaren Experten für die Architektur und Strategie freistellt.

Die Herausforderung für DACH-Unternehmen wird darin bestehen, eine Balance zwischen der notwendigen Geschwindigkeit der KI-Remediation und den strengen Compliance-Vorgaben zu finden. Wer es schafft, autonome Sicherheitsloops in ein Framework aus regulatorischer Konformität und technischer Exzellenz zu integrieren, wird einen signifikanten Wettbewerbsvorteil in der Resilienz gegenüber Zero-Day-Angriffen erlangen.

Häufige Fragen

---

Quellen: Venturebeat, Aistart, Ground ·