Introdução
A Visa acaba de dar um passo audacioso no uso de inteligência artificial para segurança cibernética. A empresa lançou uma ferramenta open-source que não apenas encontra vulnerabilidades em código, mas também escreve correções, testa essas correções e as implementa – tudo isso sem que um humano precise revisar o processo. O Visa Vulnerability Agentic Harness (VVAH) representa uma mudança fundamental na forma como empresas podem abordar a segurança de software, automatizando completamente o ciclo de detecção e correção de falhas.
Esta movimentação acontece em um momento crítico para a indústria. Apenas 18 dias antes do anúncio, pesquisadores demonstraram no DEF CON 34 um ataque chamado GhostJacking, onde um agente de IA foi manipulado para reescrever configurações de DNS após ler payloads maliciosos em arquivos de log. O debate sobre quanto de autonomia dar aos agentes de IA está mais aceso do que nunca.
Como funciona o sistema autônomo da Visa
O VVAH opera em 11 estágios automatizados que cobrem todo o ciclo de vida de uma vulnerabilidade. O sistema primeiro identifica possíveis falhas no código, depois verifica se são exploráveis, escreve uma correção, e então – aqui está a parte revolucionária – submete essa correção a um painel adversarial automatizado que tenta quebrar a solução proposta. Se a correção falha, o sistema aprende com o erro e tenta novamente, criando um loop de melhoria contínua.
Rajat Taneja, presidente de tecnologia da Visa, explicou a filosofia por trás dessa abordagem: ‘O gargalo mudou. A IA está encontrando vulnerabilidades mais rápido do que humanos conseguem na história da nossa indústria tecnológica. O novo gargalo é corrigir e provar que corrigimos as coisas.’ Esta perspectiva reflete uma realidade cada vez mais evidente no setor: as ferramentas de scanning tradicionais geram mais alertas do que as equipes de segurança conseguem processar.
A ferramenta cresceu rapidamente em popularidade desde seu lançamento no GitHub em junho. Passou de 595 estrelas e 97 forks em julho para mais de 2.300 estrelas e 300 forks em agosto, com uma taxa de clonagem próxima a 9% dos visitantes. Segundo Taneja, empresas de alto perfil já começaram a adotar o harness.
A questão da autonomia e os riscos envolvidos
A decisão da Visa de permitir que o sistema opere por padrão sem aprovação humana entre a detecção e a correção levanta questões importantes sobre segurança e governança. Steve Wilson, Chief AI and Product Officer da Exabeam e co-líder do projeto OWASP Top 10 para aplicações LLM, argumenta por uma abordagem mais cautelosa: ‘A primeira coisa que eu faria seria colocar um portão de autorização fora do modelo. O agente pode propor a mudança exata no DNS, mas não pode conceder a si mesmo a autoridade para fazê-la.’
Em resposta a essas preocupações, a Visa esclareceu que o VVAH é projetado para ser usado por operadores autorizados em código que eles possuem, em ambientes controlados. A empresa enfatiza que existem três pontos onde humanos mantêm controle: antes de executar a ferramenta, ao revisar os patches propostos, e antes de qualquer merge no código principal. ‘O VVAH é um harness, não uma ferramenta de merge’, explicou a empresa, destacando que nada contorna os fluxos normais de build, teste e revisão de código.
Tecnologia multi-modelo e evolução da ferramenta
Uma das evoluções mais significativas do VVAH é sua capacidade de orquestrar múltiplos modelos de IA para diferentes tarefas. O sistema começou usando exclusivamente o Claude Mythos da Anthropic, desenvolvido como parte do Project Glasswing, mas agora permite configuração por estágio. Como Taneja explicou: ‘Mythos tem um recall muito alto, mas o modelo Opus tem precisão muito alta. No estágio um eu quero usar este modelo. No estágio dois eu quero usar este modelo.’
Esta flexibilidade é crucial em um mercado em rápida evolução. A ferramenta agora suporta modelos da OpenAI e modelos open-weight, permitindo que empresas escolham a melhor combinação de precisão, velocidade e custo para suas necessidades específicas. A arquitetura também foi refatorada para usar uma árvore de sintaxe abstrata que mapeia caminhos de chamadas de sub-rotinas, reduzindo o uso de tokens enquanto melhora a análise de contexto e exploitabilidade.
MTTA: a nova métrica que importa
Junto com o harness, a Visa introduziu uma nova métrica chamada Mean Time to Adapt (MTTA), que mede o tempo entre a descoberta e a resolução de caminhos de ataque. Segundo a empresa, algumas resoluções que antes levavam semanas agora são completadas em horas. Taneja considera esta ‘a métrica mais estrategicamente importante’ porque muda o foco da simples detecção para a velocidade de adaptação.
O MTTA é medido em três dimensões: frescor do inventário, caminhos exploráveis por release, e tempo do ciclo de validação. Esta abordagem multidimensional oferece uma visão mais completa da postura de segurança de uma organização do que métricas tradicionais focadas apenas em detecção.
Implicações para o mercado brasileiro
Para empresas brasileiras, especialmente no setor financeiro e de tecnologia, o lançamento do VVAH pela Visa representa tanto uma oportunidade quanto um desafio. A ferramenta sendo open-source significa que organizações de todos os tamanhos podem acessar tecnologia de ponta em segurança, algo particularmente relevante em um mercado onde recursos especializados em segurança são escassos e caros.
Por outro lado, a implementação de sistemas autônomos de correção de código exige maturidade em processos de desenvolvimento e governança. Empresas brasileiras precisarão avaliar cuidadosamente seus pipelines de CI/CD, políticas de segurança e capacidade de monitoramento antes de adotar abordagens tão automatizadas. O contexto regulatório brasileiro, incluindo a LGPD e regulamentações setoriais específicas, também precisará ser considerado ao implementar agentes de IA com tal nível de autonomia.
A Visa também está expandindo seu programa de consultoria para ajudar empresas a adotar a ferramenta, oferecendo workshops executivos, avaliações de maturidade baseadas em uma escala NIST de um a cinco, e roadmaps de priorização de riscos cibernéticos. Este suporte pode ser particularmente valioso para empresas brasileiras que buscam acelerar sua transformação digital mantendo padrões rigorosos de segurança.
Conclusão
O lançamento do VVAH pela Visa marca um momento decisivo na evolução da segurança cibernética assistida por IA. Ao automatizar não apenas a detecção, mas todo o ciclo de correção de vulnerabilidades, a ferramenta promete acelerar dramaticamente a capacidade das organizações de responder a ameaças. No entanto, como toda tecnologia transformadora, vem com seus próprios riscos e desafios de implementação.
Para o mercado brasileiro, esta inovação oferece uma oportunidade de saltar etapas na evolução da segurança cibernética, mas exigirá investimento em capacitação, governança e processos. À medida que mais empresas experimentam com agentes de IA autônomos, o debate sobre o equilíbrio entre velocidade e controle continuará a evoluir. O que está claro é que o futuro da segurança cibernética será cada vez mais automatizado, e ferramentas como o VVAH da Visa estão pavimentando esse caminho.
Fonte original: Este artigo foi adaptado e traduzido a partir da matéria “Visa ships a security AI that patches production code before any human reviews it” publicada em VentureBeat, disponível em https://venturebeat.com/security/visa-agentic-security-harness-autonomous-fix.
