Visa usa IA para trocar a contagem de falhas por adaptação
O harness open source busca mostrar como identificar, corrigir e validar vulnerabilidades complexas em infraestruturas de pagamento.
A Visa anunciou em 10 de junho de 2026 a abertura do código-fonte do Visa Vulnerability Agentic Harness (VVAH). O projeto demonstra como modelos avançados de inteligência artificial podem identificar e ajudar a corrigir vulnerabilidades complexas, inclusive aquelas que se combinam em cadeias de ataque.
A iniciativa foi apresentada no contexto do Project Glasswing e se aplica a uma rede que conecta 5 bilhões de credenciais de pagamento em mais de 200 países e territórios. Para quem usa pagamentos digitais, a lógica é direta: quanto mais rápido uma organização confirma uma falha, corrige o problema e verifica o resultado, menor tende a ser o período de exposição. O VVAH declara esse objetivo, mas não comprova, por si só, que as correções ocorram muito mais rapidamente do que com métodos tradicionais.
O que muda para quem depende de pagamentos digitais. Em vez de tratar segurança apenas como uma lista de falhas encontradas, a Visa propõe acompanhar a capacidade de adaptação da organização. A empresa chama essa métrica de Mean Time to Adapt, ou Tempo Médio de Adaptação.
O foco está no ciclo completo. A equipe precisa descobrir o problema, confirmar se ele pode ser explorado, aplicar uma correção e produzir evidências de que o caminho de ataque foi realmente interrompido. Isso ajuda a aproximar a segurança do resultado que importa para o usuário: serviços mais preparados para resistir a ataques sofisticados.
1. A descoberta passa a considerar o contexto. Durante o Project Glasswing, os participantes identificaram mais de 10.000 vulnerabilidades de alta ou crítica severidade no primeiro mês de testes, segundo a Anthropic. O resultado mostrou que encontrar problemas em grande escala é apenas uma parte do trabalho.
Na Visa, o modelo Claude Mythos analisou a infraestrutura da empresa e encontrou pontos fracos que ganhavam gravidade quando combinados. A Visa afirma que controles de confiança zero, segmentação de rede e outras camadas de proteção impediram que essas cadeias chegassem a um ataque externo.
O VVAH foi criado para organizar esse tipo de investigação. Ele funciona como um pipeline governado, não como um scanner que apenas lista padrões conhecidos. São quatro fases e onze estágios, que vão da entrada do código e da modelagem de ameaças à verificação detalhada, à síntese de cadeias de exploração e à validação da correção.
2. Três controles reduzem o ruído da IA. A documentação do projeto destaca três escolhas de arquitetura:
- Modelagem de ameaças antes da análise: a equipe define quais partes do sistema merecem atenção, em vez de examinar tudo sem prioridade.
- Votação determinística entre agentes: linhas independentes de análise precisam convergir antes que um achado avance.
- Triagem estruturada: os resultados são organizados para que os desenvolvedores possam avaliar, corrigir e acompanhar cada problema.
O repositório também prevê resultados estruturados em Markdown e SARIF, um formato que permite levar achados de segurança para outras ferramentas. O código está sob a licença Apache 2.0, que facilita sua inspeção, adaptação e extensão dentro das condições da licença.
3. A métrica deixa de olhar apenas para o volume de correções. Segundo o white paper da Visa, o Mean Time to Adapt acompanha três dimensões:
- Frescor do inventário: quão atual e completa está a visão da organização sobre seu código, suas configurações e seus ambientes de execução.
- Caminhos exploráveis por lançamento: quantas cadeias de ataque de ponta a ponta continuam possíveis depois de cada lançamento.
- Ciclo de validação: quanto tempo é necessário para produzir evidências repetíveis de que uma correção funciona e continua funcionando no ambiente avaliado.
Essas dimensões são uma proposta de acompanhamento apresentada pela Visa. Elas não significam que a empresa tenha deixado de usar todas as métricas tradicionais, nem que tenham se tornado um padrão para toda a indústria. A ideia é complementar indicadores como o tempo médio de detecção e a quantidade de vulnerabilidades fechadas com uma pergunta mais útil: o caminho de ataque foi de fato interrompido?
A cadeia de fornecedores também entra na conta. Uma empresa pode proteger bem sua própria rede e ainda ficar exposta por causa de fornecedores ou componentes de código aberto. Por isso, a Visa afirma estar incluindo a segurança específica de sistemas de IA em sua avaliação de fornecedores, com expectativas de validação contínua de vulnerabilidades, inventários de software atualizados e referências de Mean Time to Adapt.
A Visa também se juntou ao Project Lightwell, iniciativa de US$ 5 bilhões da IBM e da Red Hat para reforçar componentes de código aberto amplamente utilizados por meio de validação com IA e coordenação de correções. O ponto para outras organizações é prático: o tempo de adaptação não termina na fronteira da própria empresa.
Agentes de IA exigem identidade própria. A próxima frente envolve agentes que compram ou executam tarefas em nome de consumidores e empresas. A Visa diz estar trabalhando em uma estrutura de confiança, uma camada de identidade e uma forma de avaliar se um agente está pronto para realizar transações.
O white paper lista entre suas 12 práticas arquitetônicas não negociáveis a ideia de que agentes de IA devem ser tratados como identidades. Na prática, isso significa usar permissões limitadas, registrar as ações e incluir cada agente na governança de acesso aos sistemas.
A Visa também descreve o Payment Threats Lab, ambiente de simulação que reproduz cenários de fraude contra regras e configurações de autorização. O objetivo é transformar possíveis falhas no uso de IA em recomendações específicas de proteção.
O que uma equipe pode fazer agora. O VVAH não elimina a necessidade de revisão humana. Ele oferece uma referência open source para equipes que querem testar uma defesa mais orientada por agentes, com controles determinísticos, políticas de segurança e validação das correções.
O primeiro passo é medir quanto tempo sua organização leva para atualizar o inventário, confirmar uma cadeia de ataque, corrigir o problema e provar que a correção continua válida. Essa mudança tira a segurança da lógica de contar falhas e a aproxima da proteção que o usuário realmente sente: sistemas de pagamento mais resilientes e uma vida digital com menos interrupções causadas por ataques evitáveis.
Pesquisadores e empresas que encontrarem vulnerabilidades nos serviços da Visa devem seguir o processo oficial de divulgação responsável da empresa, sem publicar detalhes sensíveis em canais públicos. Para equipes brasileiras, a página local da Visa oferece orientações em português sobre reporte e safe harbor. Leia também: Microsoft lança o Project Perception. Saiba como a nova defesa por agentes protege seus dados.
