.webp){kind=small}
Visa alvo da Anthropic's Claude Mythos na infraestrutura por trás de bilhões de transações diárias, uma rede que abrange mais de 200 países e territórios, move dinheiro em cerca de 160 moedas e conecta quase 5 bilhões de credenciais de pagamento a mais de 175 milhões de locais comerciais.
O modelo costurou fraquezas menores profundas na pilha em cadeias de exploração que tradicionalmente surgiriam apenas tarde na testagem de penetração. Rajat Taneja, presidente de tecnologia da Visa, apresentou ao público da VB Transform 2026 o que veio em seguida, incluindo por que a Visa liberou o freio que governava toda a caça como código aberto e por que a empresa abandonou métricas de remediação tradicionais por uma medida que sua equipe inventou.
Taneja liderou a estratégia de tecnologia, engenharia de produtos e infraestrutura global da Visa desde 2019, após se juntar à empresa em 2013 da Electronic Arts, onde ele serviu como CTO após 15 anos na Microsoft. Ele co-autorou, com o chefe de informações de segurança da Visa, Subra Kumaraswamy, o post de blog de 10 de junho anunciando a liberação do Visa Vulnerability Agentic Harness no GitHub como uma implementação de referência que qualquer equipe de segurança pode inspecionar, adaptar e ampliar. A Visa também publicou um documento técnico detalhando a arquitetura, lições aprendidas e 12 práticas arquiteturais não negociáveis para infraestrutura crítica.
Confiança construída sobre pessimismo e paranoia.
Taneja liderou com a aritmética que torna a Visa um alvo digno de defesa obsessivamente. A confiança em escala de pagamentos globais é engenhada por meio do que ele chamou de pessimismo e paranoia, assumindo falha e projetando em torno dela antes que a falha chegue. A rede foi endurecida ao longo de muitos anos por meio de arquitetura zero-truste, defesas em camadas e operações de segurança altamente automatizadas projetadas para a escala e a confiabilidade que os pagamentos globais exigem.
Então, quando a Anthropic convidou as organizações por trás de software crítico a testar a Mythos sob o Projeto Glasswing, a Visa disse sim. Os participantes do Glasswing identificaram coletivamente mais de 10.000 vulnerabilidades de alta ou crítica-severidade na primeira semana de testes em software que sustenta sistemas críticos em toda a indústria, de acordo com a Anthropic. A própria conclusão da Anthropic colocou a garganta após a descoberta, na verificação, divulgação e velocidade de aplicação de correções. A Visa se juntou para testar décadas de endurecimento à velocidade do AI e aprender onde modelos avançados poderiam empurrar suas defesas mais longe.
O que a Mythos mostrou na Visa.
Dentro do ambiente da Visa, a Mythos demonstrou análise de sistema em larga escala, consciente do contexto, que trouxe à tona vulnerabilidades enterradas profundamente na pilha e sinalizou problemas que se tornam mais sérios quando combinados, com achados limpos o suficiente para que as equipes de engenharia pudessem agir neles sem se perder em ruído. Algumas descobertas carregavam classificações de gravidade crítica, e a Visa credita seus controles zero-trust, segmentação de rede e proteções em camadas com quebrar a corrente antes que qualquer ator externo pudesse agir.
Confirmação importava, disse Taneja, mas a epifania que se seguiu importava mais. "Em um mundo de ataques agênticos, a defesa também tem que ser agêntica", disse ele. Mesmo em uma empresa que investiu décadas em defesa em profundidade, o modelo revelou suposições que a equipe vinha operando e que precisavam ser repensadas. As ferramentas SAST tradicionais mantêm seu lugar como uma primeira passagem contra padrões de vulnerabilidade conhecidos, notas do white paper da Visa, mas correspondência de padrões sozinho não pode seguir um adversário que raciocina através da lógica, do fluxo de dados e das cadeias de exploração que vivem entre as assinaturas.
Um arnês, não um scanner.
A resposta da Visa não foi outro scanner monolítico. A equipe construiu o Visa Vulnerability Agentic Harness, agora em sua quinta geração, como um pipeline governado que direciona modelos de IA de fronteira por meio de tarefas de segurança estruturadas, ao mesmo tempo em que impõe controles determinísticos, portas de políticas e supervisão em todas as etapas. Taneja percorreu a filosofia de design. O arnês opera em quatro fases e onze estágios, desde a ingestão de código e modelagem de ameaças até a verificação de mergulho profundo, síntese de cadeia de exploração e, finalmente, remediação e validação de correção três opções de design impulsionam a busca de qualidade, de acordo com a própria documentação do projeto.
A modelagem de ameaças é executada antes da análise para se concentrar na superfície de ataque, em vez de digitalizar tudo às cegas, a votação determinística multiagente requer convergência entre cadeias de raciocínio independentes antes que uma descoberta avance, e artefatos de triagem estruturados comprimem o ciclo de vida da descoberta para um resultado que os desenvolvedores podem realmente enviar. O payoff é um pipeline que funciona quente por padrão. Uma varredura simples no perfil enviado executa todos os onze estágios e edita os arquivos de origem no repositório de destino no modo de correção, aplicando patches candidatos a menos que o operador pare na detecção o arnês é multi-modelo por design.
Uma camada de abstração LLM permite que a Visa troque ou combine provedores sem alterar o plano de controle, e a versão de código aberto funciona com Anthropic Claude, modelos compatíveis com OpenAI ou uma combinação. A documentação do repositório é sincera sobre a exceção. A aplicação de uma correção requer as ferramentas de edição de arquivos que apenas os backends antrópicos expõem, para que a correção e a validação atualmente exigem modelos antrópicos para funcionalidade completa, e um modelo compatível com OpenAI nessas funções é limitado à saída somente de relatório. A pesquisa Pulse do segundo trimestre de 2026 da VentureBeat, apresentada anteriormente na conferência, reforça por que essa flexibilidade do provedor é importante.
Entre as empresas pesquisadas, 82% contam com controles nativos do provedor como sua principal camada de segurança e 59% planejam adotar ou trocar ferramentas de segurança de agentes dentro de um ano.
Controles adotados no ano passado já estão se tornando os controles que planejam substituir.
Mean Time to Adapt substitui métricas legadas.
Encontrar vulnerabilidades não é mais a parte mais difícil, argumentou Taneja. O verdadeiro desafio é a rapidez com que uma equipe pode confirmar que um problema é realmente explorável, corrigi-lo e provar a caminho de ataque é fechado em vez de apenas mostrar que um patch foi aplicado. A Visa chama isso de Tempo Médio de Adaptação, e o white paper o acompanha ao longo de três dimensões. A atualização do inventário mede o quão atual e completa é a visão da organização sobre a implantação de código, configuração e tempo de execução. Os caminhos exploráveis por lançamento contam quantas cadeias de ataque de ponta a ponta permanecem possíveis após cada lançamento, não apenas quantas descobertas foram fechadas.
Ciclo de validação o tempo rastreia quanto tempo leva para produzir provas repetíveis e comprovadas de que uma correção funciona e permanece funcionando na produção essa distinção é importante porque medidas herdadas, como o tempo médio para detectar e as contagens brutas de fechamento de CVE, podem parecer melhores no papel, enquanto a exposição real continua crescendo abaixo delas. Uma organização pode fechar centenas de descobertas por mês e ainda deixar cadeias de exploração viáveis abertas se ninguém testar se os patches realmente quebrar o ataque.
O MTTA força as equipes a medir o resultado que importa, e o white paper se apoia nos dados de Vulnerabilidades Exploradas Conhecidas da CISA para fazer o caso de priorização, observando que menos de 1% dos CVEs são explorados ativamente. A política de SSDLC da Visa agora assume que todos os caminhos exploráveis serão exercidos na produção e exige que sejam corrigidos antes que o código seja promovido.
O risco da cadeia de suprimentos acelera com a IA.
A conversa passou pelo perímetro da Visa quando Taneja procurou fornecedores. Uma empresa bem defendida permanece exposta por meio de fornecedores fracos e componentes fracos de código aberto, adverte o white paper, de modo que a Visa está tornando a postura de segurança específica da IA uma dimensão não negociável da devida diligência do fornecedor, com expectativas de validação contínua de vulnerabilidades, listas de materiais de software vivo e linhas de base MTTA em toda a sua pilha de tecnologia.
A Visa tem também se juntou ao Projeto Lightwell, a iniciativa de $ 5 bilhões da IBM e da Red Hat para fortalecer os componentes de código aberto amplamente utilizados por meio de validação orientada por IA e correção coordenada, ao lado de instituições financeiras, incluindo Bank of America, JPMorganChase, Goldman Sachs e Mastercard. O compromisso estende a mesma lógica a montante, porque o relógio MTTA não faz pausa no perímetro de nenhuma empresa.
Quando os agentes começam a comprar coisas.
Agentic de segurança comércio é o próximo problema da Visa. Taneja descreveu um futuro em que os agentes de IA realizam transações em nome de consumidores e empresas, e disse que a Visa está construindo a estrutura de confiança, a camada de identidade e a pontuação de prontidão do agente que os comerciantes precisarão antes que os agentes possam concluir com segurança.
| ℹ️ | Nota do editor: O AR NEWS 24H publica conteúdos baseados em fontes externas. As informações e opiniões presentes no material original são de responsabilidade de seus respectivos autores. Este conteúdo foi traduzido e adaptado para o português do Brasil com auxílio de ferramentas automatizadas. |
.jpg)
.jpg)
