Visa lance VVAH, un outil open-source capable de détecter et corriger des failles de sécurité en production de manière autonome. Révolution ou risque majeur ?

Le paradigme de la cybersécurité vient de franchir un seuil critique. Visa a dévoilé une mise à jour majeure de son outil open-source, le Visa Vulnerability Agentic Harness (VVAH), transformant radicalement la manière dont les vulnérabilités logicielles sont traitées. Jusqu'à présent, l'intelligence artificielle aidait les analystes à identifier des failles ; désormais, elle les corrige et déploie le patch en production, le tout sans qu'aucun œil humain n'ait à valider la ligne de code.

L'automatisation totale du cycle de remédiation

Le fonctionnement du VVAH repose sur une boucle fermée composée de 11 étapes distinctes. Le système ne se contente pas de scanner le code à la recherche de faiblesses. Une fois la vulnérabilité identifiée, l'IA rédige elle-même le correctif. Mais l'innovation réside dans la phase de validation : le patch est soumis à un panel adverse, une suite de tests automatisés conçus spécifiquement pour tenter de briser la correction proposée.

Si le correctif survit à cet assaut, le VVAH modifie directement les fichiers sources dans le dépôt cible. Cette approche de remédiation autonome permet de réduire des délais de correction qui s'étendaient autrefois sur plusieurs semaines à seulement quelques heures. Pour Visa, l'enjeu est simple : la vitesse de découverte des failles par les attaquants (et par les IA) a dépassé la capacité de réaction humaine.

Un choix technique qui divise les experts

Le point le plus controversé de cette annonce est le fait que cette boucle d'automatisation soit activée par défaut. Dans de nombreux environnements, le code est donc patché et déployé avant toute revue humaine. Cette stratégie a suscité des réactions contrastées au sein de la communauté de la sécurité. Steve Wilson, Chief AI and Product Officer chez Exabeam et co-responsable du projet OWASP Top 10 pour les applications LLM, a exprimé ses réserves. Selon lui, une porte d'autorisation humaine devrait impérativement se situer en dehors du modèle d'IA.

L'agent peut proposer le changement DNS exact, mais il ne peut pas s'octroyer lui-même l'autorité de l'effectuer.

Face à ces critiques, Rajat Taneja, président de la technologie chez Visa, rejette l'idée que ce réglage par défaut soit une simple décision de risque. Pour lui, c'est l'essence même du produit. Il soutient que le goulot d'étranglement s'est déplacé : l'IA trouve des failles plus rapidement que n'importe quel humain dans l'histoire de l'industrie, et la priorité absolue est désormais de prouver que ces failles sont corrigées instantanément.

De Project Glasswing à l'open-source

La genèse du VVAH remonte à la participation de Visa au Project Glasswing d'Anthropic. Lors de ces expérimentations, Visa a utilisé le modèle Claude Mythos pour analyser le réseau supportant des milliards de transactions quotidiennes. Les résultats ont été frappants : le modèle a réussi à enchaîner des faiblesses mineures pour créer des exploits fonctionnels, démontrant ainsi la puissance du raisonnement sémantique des nouveaux modèles d'IA.

Convaincue par cette capacité, Visa a publié le harnais sur GitHub en juin 2026. L'adoption a été rapide, passant de 595 étoiles en juillet à plus de 2 300 étoiles fin août, avec un ratio de clonage proche de 9 %. Cette ouverture stratégique s'accompagne d'une intégration dans des alliances majeures, notamment l'Open Secure AI Alliance de NVIDIA et le Project Lightwell d'IBM et Red Hat, doté de 5 milliards de dollars.

L'ombre du GhostJacking et la course aux armements

Le timing du déploiement de Visa n'est pas fortuit. Il intervient seulement 18 jours après que Tenet Security a fait la démonstration de GhostJacking lors de la DEF CON 34. Cette attaque a montré comment un agent IA pouvait lire une charge utile malveillante dans un fichier de log et réécrire des configurations DNS en utilisant des identifiants valides. L'attaque GhostJacking illustre précisément le risque que redoutent les sceptiques : un agent autonome doté de privilèges d'écriture peut devenir une arme s'il est compromis.

C'est précisément pour contrer ce type de menace que Visa mise sur son panel adverse. En forçant l'IA à attaquer sa propre solution avant le déploiement, l'entreprise espère créer un filet de sécurité plus fiable que la revue humaine, souvent jugée trop lente et sujette aux erreurs.

Une mutation profonde du rôle de l'ingénieur

L'introduction du VVAH marque une transition vers des opérations de sécurité totalement autonomes. Dans ce nouveau schéma, le rôle des ingénieurs en cybersécurité évolue. Ils ne sont plus les exécutants qui écrivent et vérifient chaque ligne de patch, mais deviennent des superviseurs de haut niveau. Leur mission se déplace vers la définition des politiques de sécurité et la gestion des exceptions complexes que l'IA ne saurait résoudre.

Pour accompagner cette transition, Visa étend sa pratique de conseil via Visa Consulting & Analytics. L'entreprise propose désormais des services d'éducation au leadership en IA et des feuilles de route pour la hiérarchisation des risques, aidant ainsi ses clients à opérationnaliser ces outils de sécurité agentiques.

L'impact pour le tissu entrepreneurial français

Pour les entreprises françaises, l'arrivée d'outils comme le VVAH pose des questions cruciales de souveraineté et de conformité. Dans le cadre de l'AI Act européen, l'automatisation du code de production sans supervision humaine pourrait être classée comme un risque élevé, nécessitant des mécanismes de contrôle et de transparence très stricts. Les entreprises du CAC 40 et les scale-ups de la French Tech, très attentives à la sécurité de leurs données, devront arbitrer entre la vitesse d'exécution offerte par l'IA et les exigences réglementaires de l'UE.

Par ailleurs, dans la dynamique de France 2030, l'accent mis sur l'IA industrielle pourrait pousser les acteurs locaux à développer des alternatives européennes au VVAH. Le tissu industriel français, marqué par une forte présence de PME et d'ETI, pourrait voir dans l'open-source de Visa une opportunité de monter en gamme sécuritaire sans disposer d'armées de développeurs. Cependant, l'adoption de tels systèmes demandera une mise à jour profonde des compétences en DevSecOps au sein des équipes techniques nationales pour passer d'une culture de la validation manuelle à une culture de la gouvernance algorithmique.

L'enjeu pour la France sera d'intégrer ces capacités de remédiation rapide tout en maintenant un cadre de responsabilité clair, afin d'éviter que l'autonomie technique ne se transforme en vulnérabilité juridique en cas de panne systémique provoquée par un patch autonome.

Questions fréquentes

---

Sources: Venturebeat, Aistart, Ground ·