Introdução
A Visa, gigante global de pagamentos que processa bilhões de transações diárias, revelou como utilizou o modelo Claude Mythos da Anthropic para identificar vulnerabilidades complexas em sua infraestrutura crítica – falhas que os métodos tradicionais de teste não conseguiam detectar. A empresa não apenas encontrou problemas sérios em seus sistemas, mas também decidiu liberar como código aberto a ferramenta que desenvolveu para gerenciar essa caçada por bugs, permitindo que outras organizações repliquem sua abordagem.
O projeto, parte da iniciativa Project Glasswing da Anthropic, demonstra como a inteligência artificial está revolucionando a segurança cibernética em infraestruturas críticas. Para o mercado brasileiro de fintechs e instituições financeiras, que dependem cada vez mais de sistemas complexos de pagamento, as descobertas da Visa oferecem lições valiosas sobre como preparar defesas para um futuro onde os próprios ataques serão conduzidos por IA.
A escala monumental do desafio de segurança
A infraestrutura da Visa conecta mais de 200 países e territórios, movimenta dinheiro em aproximadamente 160 moedas diferentes e liga quase 5 bilhões de credenciais de pagamento a mais de 175 milhões de estabelecimentos comerciais. Proteger uma rede dessa magnitude exige o que Rajat Taneja, presidente de tecnologia da Visa, descreve como uma combinação de “pessimismo e paranoia” – assumir que falhas vão ocorrer e projetar sistemas que continuem funcionando mesmo quando elas acontecem.
Durante décadas, a empresa construiu camadas sobre camadas de proteção: arquitetura zero-trust, defesas em profundidade e operações de segurança altamente automatizadas. Mesmo assim, quando a Anthropic convidou organizações responsáveis por software crítico para testar o Mythos, a Visa aceitou o desafio. A razão era simples: validar se décadas de fortificação resistiriam a um adversário que pensa na velocidade da IA.
Descobertas que surpreenderam até os especialistas
O Claude Mythos demonstrou capacidades que vão muito além dos scanners de vulnerabilidade tradicionais. O modelo conseguiu realizar análises contextuais em todo o sistema, identificando vulnerabilidades enterradas profundamente na pilha de tecnologia e, mais importante, descobrindo como combinar fraquezas menores em cadeias de exploração funcionais – algo que normalmente só apareceria nas fases finais de testes de penetração conduzidos por especialistas humanos.
Algumas das descobertas receberam classificações de severidade crítica. A Visa credita seus controles zero-trust, segmentação de rede e salvaguardas em camadas por quebrar essas cadeias de ataque antes que qualquer agente externo pudesse explorá-las. Mas a verdadeira revelação veio depois: a empresa percebeu que, em um mundo onde os ataques serão conduzidos por agentes de IA, as defesas também precisam ser “agênticas” – capazes de raciocinar e se adaptar autonomamente.
O Visa Vulnerability Agentic Harness: uma nova abordagem
Em vez de criar apenas mais um scanner monolítico, a equipe da Visa desenvolveu o Visa Vulnerability Agentic Harness, agora em sua quinta geração. Trata-se de um pipeline governado que direciona modelos de IA de ponta através de tarefas estruturadas de segurança, mantendo controles determinísticos, gates de política e supervisão humana em cada etapa.
O harness opera em quatro fases e onze estágios, desde a ingestão de código e modelagem de ameaças até verificação profunda, síntese de cadeias de exploração e, finalmente, remediação e validação de correções. Três escolhas de design garantem a qualidade dos achados: modelagem de ameaças antes da análise para focar na superfície de ataque real, votação determinística multi-agente que exige convergência entre cadeias de raciocínio independentes, e artefatos de triagem estruturados que comprimem o ciclo desde a descoberta até um resultado que os desenvolvedores possam realmente implementar.
A ferramenta é multi-modelo por design, permitindo trocar ou combinar provedores sem alterar o plano de controle. A versão open source funciona com Claude da Anthropic, modelos compatíveis com OpenAI ou uma combinação de ambos – uma flexibilidade crucial num mercado onde 82% das empresas ainda dependem principalmente de controles nativos dos provedores de IA.
Mean Time to Adapt: repensando métricas de segurança
A Visa introduziu uma nova métrica chamada Mean Time to Adapt (MTTA) – Tempo Médio para Adaptar – argumentando que encontrar vulnerabilidades não é mais a parte difícil. O verdadeiro desafio é confirmar rapidamente se um problema é realmente explorável, corrigi-lo e provar que o caminho de ataque está fechado, não apenas mostrar que um patch foi aplicado.
O MTTA é medido em três dimensões: frescor do inventário (quão atual e completa é a visão da organização sobre código, configuração e implantação), caminhos exploráveis por release (quantas cadeias de ataque end-to-end permanecem possíveis após cada lançamento), e tempo de ciclo de validação (quanto tempo leva para produzir prova repetível de que uma correção funciona e continua funcionando em produção).
Essa abordagem força as equipes a medir o resultado que realmente importa. Uma organização pode fechar centenas de descobertas por mês e ainda deixar cadeias de exploração viáveis abertas se ninguém testar se os patches realmente quebram o ataque.
Implicações para o ecossistema financeiro brasileiro
Para o mercado brasileiro de pagamentos e fintechs, as descobertas da Visa trazem lições críticas. Primeiro, a necessidade de repensar completamente as estratégias de segurança para um mundo onde tanto ataques quanto defesas serão conduzidos por IA. Instituições que ainda dependem apenas de ferramentas tradicionais de análise estática (SAST) ou testes manuais de penetração estão ficando perigosamente defasadas.
Segundo, a importância de métricas que reflitam a realidade da segurança, não apenas números que parecem bons em relatórios. O conceito de MTTA pode ser adaptado por qualquer organização, independentemente do tamanho, para medir se está realmente reduzindo sua exposição a riscos ou apenas fechando tickets.
Terceiro, a questão da cadeia de suprimentos. A Visa está tornando a postura de segurança específica para IA um requisito não negociável na due diligence de fornecedores. Para empresas brasileiras que fornecem serviços para grandes instituições financeiras, isso significa que demonstrar capacidades robustas de segurança com IA será cada vez mais um diferencial competitivo – ou uma barreira de entrada.
O futuro do comércio com agentes de IA
A Visa já está se preparando para o próximo desafio: proteger o comércio agêntico, onde agentes de IA realizarão transações em nome de consumidores e empresas. A empresa está construindo frameworks de confiança, camadas de identidade e sistemas de pontuação de prontidão de agentes que os comerciantes precisarão antes que agentes possam completar transações com segurança.
O Visa Payment Threats Lab simula cenários reais de fraude contra as regras de autorização, limites e configurações que a Visa realmente executa, para identificar modos de falha habilitados por IA. É um reconhecimento de que o problema de identidade não é teórico – pesquisas mostram que 69% das empresas já compartilham credenciais em suas implantações de agentes, e aquelas com credenciais compartilhadas relatam incidentes de segurança a uma taxa de 63,5%, contra 40,9% onde cada agente tem sua própria identidade com escopo definido.
Conclusão
A decisão da Visa de liberar o Vulnerability Agentic Harness como código aberto representa mais do que um gesto de boa vontade corporativa – é um reconhecimento de que a segurança de infraestruturas críticas é um desafio coletivo que nenhuma empresa pode resolver sozinha. Com 595 estrelas e 97 forks no GitHub em poucas semanas, a ferramenta já está sendo adaptada por outras organizações.
Para o mercado brasileiro, especialmente no setor financeiro e de pagamentos, o momento de agir é agora. As práticas não negociáveis documentadas pela Visa, a adoção de métricas como MTTA e a preparação para defesas agênticas não são luxos para o futuro – são necessidades urgentes do presente. Como o próprio white paper da Visa conclui: a janela de oportunidade para ficar à frente de atacantes que operam na velocidade da máquina ainda está aberta, mas não permanecerá assim por muito tempo.
Fonte original: Este artigo foi adaptado e traduzido a partir da matéria publicada em VentureBeat, disponível em https://venturebeat.com/security/visa-used-mythos-to-hunt-for-bugs-in-its-own-payment-network-then-open-sourced-the-harness-that-made-it-possible.
