A Visa lançou uma atualização para sua ferramenta de cibersegurança de código aberto, a Visa Vulnerability Agentic Harness (VVAH), com uma capacidade que redefine a fronteira da automação no setor: a correção autônoma de código em produção. Por padrão, o sistema agora não apenas identifica uma vulnerabilidade, mas também escreve, implementa e testa o patch de correção antes que qualquer desenvolvedor humano revise o processo.

O movimento, reportado pelo VentureBeat, posiciona a Visa na vanguarda de uma discussão crítica sobre o papel de agentes de IA no desenvolvimento de software. A decisão de tornar a autonomia total o padrão — e não uma opção — é uma aposta calculada de que a velocidade de remediação é hoje mais estratégica do que a supervisão humana em cada etapa. A iniciativa surge em um momento em que a indústria debate os perigos de IAs com excesso de permissões, um risco recentemente demonstrado em conferências de segurança.

O gargalo mudou: do alerta à correção

Para a Visa, a decisão não é sobre risco, mas sobre eficiência. Rajat Taneja, presidente de tecnologia da companhia, argumenta que o gargalo da cibersegurança se deslocou. "A IA está encontrando vulnerabilidades mais rápido do que os humanos conseguem na história da nossa indústria de tecnologia. O novo gargalo é consertar e provar que consertamos", disse ele ao VentureBeat. A ferramenta nasceu da participação da Visa no Projeto Glasswing, da Anthropic, onde o modelo Claude demonstrou a capacidade de encadear falhas menores para criar exploits funcionais.

Nessa visão, a VVAH é a resposta para um problema de fluxo. A métrica interna que a Visa criou para medir seu sucesso, a "Mean Time to Adapt" (MTTA), ou Tempo Médio de Adaptação, reflete essa filosofia. O foco sai da quantidade de vulnerabilidades encontradas e vai para a velocidade com que a organização consegue se adaptar e neutralizar uma ameaça. Para Taneja, a conclusão é direta: "Não é encontrar. É consertar o que importa".

Autonomia por padrão: eficiência ou risco?

A abordagem da Visa, no entanto, não é um consenso. Especialistas como Steve Wilson, co-líder do projeto OWASP Top 10 para Aplicações de LLM, defendem o oposto: um portão de autorização. Nesse modelo, a IA pode analisar o problema e propor a solução exata — a mudança no código, a alteração no DNS —, mas a autoridade para executar a mudança permaneceria com um humano. O argumento é que regras de segurança escritas em prompts são sugestões para o modelo, não controles de segurança infalíveis.

Ao abrir o código da VVAH no GitHub, mas não aceitar contribuições externas, a Visa mantém controle total sobre sua ferramenta, mitigando parte do risco. Ainda assim, a sua filosofia de "autonomia por padrão" estabelece um novo paradigma. A empresa força o ecossistema a confrontar uma questão fundamental: em um cenário onde as ameaças também são automatizadas, a velocidade da máquina pode ser a melhor defesa, mesmo que isso signifique abrir mão do controle humano.

A aposta da Visa sugere que, para um gigante que processa bilhões de transações diárias, o risco de uma vulnerabilidade não corrigida por um processo humano lento é maior do que o risco de uma correção automatizada imperfeita. O mercado agora observa se outras grandes empresas de tecnologia seguirão o mesmo caminho, transformando a supervisão humana de regra em exceção.

Com reportagem de Brazil Valley

Source · VentureBeat