Visa lansează VVAH, harness-ul open-source care detectează și corectează vulnerabilitățile în producție fără review uman. Analiză despre riscuri, business și reziliență.

Paradigma cybersecurity-ului corporate suferă o mutație genetică. Nu mai este vorba despre accelerarea intervenției umane, ci despre eliminarea acesteia din ciclul critic de răspuns la amenințări. Visa a concretizat această viziune prin lansarea Visa Vulnerability Agentic Harness (VVAH), un framework open-source capabil să identifice vulnerabilități, să scrie corecția și să o aplice direct în repository-urile de producție fără ca nicio ființă umană să revizuiască codul.

Putem avea încredere într-un cod fără oameni?

Întrebarea nu mai este dacă AI-ul poate scrie cod, ci dacă poate gestiona integritatea acestuia în medii de producție critice. Abordarea Visa este radicală: loop-ul de reparare este activ implicit. Aceasta înseamnă că automatizarea nu se limitează la a sugera o soluție, ci modifică fișierele sursă în repository-ul țintă, cu excepția cazului în care operatorul decide explicit să limiteze sistemul doar la faza de detectare.

Analiză strategică: Pentru un antreprenor, această schimbare reprezintă un trade-off între riscul operațional și viteza de răspuns. Revizuirea umană, văzută tradițional ca ultima linie de apărare, este identificată aici ca principalul punct de eșec: este lentă, predispusă la erori și incapabilă să scaleze la viteza amenințărilor moderne. Visa pariază pe faptul că un proces de validare automatizat și riguros este mai sigur decât o revizuire umană întârziată.

Totuși, comunitatea tehnică este împărțită. Steve Wilson, Chief AI and Product Officer la Exabeam și co-lead pentru OWASP Top 10 for LLM Applications, a exprimat o poziție opusă. Wilson susține că autorizarea trebuie să rămână externă modelului: 'The agent can propose the exact DNS change, but it cannot grant itself the authority to make it'. În esență, AI-ul poate fi arhitectul soluției, dar nu notarul care semnează actul de implementare.

Cele unsprezece stadii ale reparării autonome

Funcționarea VVAH nu este un singur salt logic, ci o secvență orchestrată de 11 stadii distincte. Sistemul nu se limitează la a patch-ui, ci simulează un întreg ciclu de viață al software-ului în câteva minute. Procesul începe cu identificarea breșei în codul de producție și continuă cu generarea unui patch specific.

Elementul distinctiv este introducerea unui panel adversar. Înainte ca codul să fie scris în repository, patch-ul este supus unei suite de teste concepute special pentru a-l strica. Este o abordare de self-harming: AI-ul atacă propriul output pentru a verifica dacă corecția nu este doar eficientă, ci dacă nu introduce noi vulnerabilități colaterale.

Doar după ce trece prin acest gauntlet de teste, loop-ul trece la editarea fișierelor sursă. Această structură în circuit închis permite rafinarea corecțiilor care eșuează la validare fără a fi nevoie de repornirea întregului proces de la zero, reducând drastic Mean Time to Adapt și permițând Visa să reducă timpii de rezolvare ai unor breșe de la săptămâni la câteva ore.

Rajat Taneja mută blocajul

În spatele acestei arhitecturi se află viziunea lui Rajat Taneja, președintele tehnologiei de la Visa. Pentru Taneja, automatizarea totală nu este o alegere de risc, ci singurul răspuns logic la o schimbare de piață. Într-un interviu pentru VentureBeat, a declarat: 'The bottleneck has moved'. Conform lui Taneja, AI-ul găsește acum vulnerabilități mai rapid decât au făcut-o oamenii vreodată în istoria industriei tehnologice; prin urmare, noul blocaj nu mai este descoperirea, ci capacitatea de a repara și de a dovedi că repararea a avut loc.

VVAH nu s-a născut în vid, ci este rezultatul participării Visa la Project Glasswing de la Anthropic. În acel context, Visa a utilizat modelul Claude Mythos pentru a analiza rețeaua care gestionează miliarde de tranzacții zilnice. Rezultatele au fost revelatoare: modelul a fost capabil să concateneze slăbiciuni minore pentru a crea exploit-uri funcționale, demonstrând o capacitate de raționament semantic care a împins Visa să dezvolte harness-ul.

Succesul VVAH este vizibil și în cifrele de pe GitHub. Lansat în iunie 2026, proiectul a trecut de la 595 de stele pe 20 iulie la peste 2.300 de stele pe 25 august, cu un raport clone-to-visitor apropiat de 9%. Taneja a confirmat că diverse companii de profil înalt au început deja să implementeze acest instrument.

GhostJacking și riscul default-ului

Lansarea unui sistem care modifică codul implicit are loc într-un moment de extremă vulnerabilitate pentru agenții AI. Cu doar 18 zile înainte de anunțul Visa, Tenet Security a demonstrat la DEF CON 34 atacul GhostJacking. În acest scenariu, un agent AI citește un payload malevol dintr-un fișier de log și, utilizând credențiale valide, rescrie setările DNS.

Acest precedent ridică o chestiune critică: dacă un agent are autoritatea de a modifica codul de producție pentru a-l repara, ce împiedică un input malevol să convingă agentul să repare codul inserând o backdoor? Apărarea Visa rezidă în panelul adversar, dar riscul unui default prea permisiv rămâne un punct de fricțiune între susținătorii vitezei și puriștii securității.

Analiză de risc: Pericolul real pentru companii nu este eroarea AI-ului, ci excesul de încredere în loop-ul automatizat. Dacă atacatorul reușește să compromită testele panelului adversar, AI-ul ar deveni vehiculul cel mai eficient posibil pentru a distribui malware la scară globală, ocolind orice control uman.

Pentru a monitoriza evoluția acestui risc, indicatorul verificabil va fi eventuala introducere de standarde de certificare pentru panelurile adversariale AI până în 2027, sau raportarea primului exploit care utilizează un harness de patching pentru a injecta cod malevol.

Automatizarea patch-urilor și reziliența financiară europeană

Adoptarea de instrumente precum VVAH are implicații profunde pentru țesutul antreprenorial european și italian, special pentru companiile care operează în sectoare reglementate.

Driver	Impact pentru Întreprindere	Referință Normativă/Strategică
Viteza de Patching	Reducerea downtime-ului și a costurilor de urgență pentru zero-day.	Reziliența Operațională (DORA)
Autonomia AI	Mutarea personalului IT de la coding la policy management.	AI Act (Guvernanța sistemelor cu risc ridicat)
Open Source Security	Acces la instrumente de nivel enterprise pentru PMI-uri tech.	NIS2 (Securitatea supply chain-ului software)

Pentru întreprinderile italiene, integrarea sistemelor de reparare autonomă ar putea fi singura cale de a se conforma directivei NIS2, care impune standarde de securitate riguroase de-a lungul întregului supply chain. Totuși, AI Act-ul Uniunii Europene ridică întrebări privind responsabilitatea legală: cine răspunde dacă un patch autonom cauzează un crash sistemic sau o pierdere de date? Dacă intervenția umană este scoasă din loop, responsabilitatea se mută de la programator la furnizorul modelului sau la compania care a configurat harness-ul.

Strategia pentru decidenții europeni nu va fi adoptarea oarbă a default-ului Visa, ci implementarea unui model hibrid. Indicatorul de urmărit va fi adoptarea de gate-uri de autorizare (așa cum a sugerat Wilson) în cadrul implementărilor europene de VVAH, pentru a echilibra eficiența americană cu prudența normativă UE.

FAQ

Q: Ce este mai exact Visa Vulnerability Agentic Harness (VVAH)?
A: Este un framework open-source care automatizează întregul ciclu de remediere a vulnerabilităților: găsește breșa, scrie patch-ul, îl testează împotriva unui panel adversar și îl aplică codului de producție.

Q: De ce a decis Visa să îl facă open-source?
A: Deși dosarul nu raportează explicația completă, Rajat Taneja conectează alegerea la DNA-ul tehnologic al Visa și la dorința de a muta blocajul industriei de la descoperire la repararea breșelor.

Q: Care este riscul principal al unui sistem care patch-uiește fără review uman?
A: Riscul este ca AI-ul să poată fi manipulat (așa cum s-a văzut în cazul GhostJacking) sau să poată introduce erori imprevizibile care, chiar dacă trec de testele automatizate, cauzează instabilitate în sistemul de producție.

---

Surse: Venturebeat, Aistart, Ground ·