Visa’nın açık kaynaklı güvenlik sistemi artık bu güvenlik açığını tespit ediyor, düzeltme kodunu yazıyor ve herhangi bir insan tarafından incelenmeden önce kendi yamasını bir saldırı paneli üzerinde test ediyor. Tüm bu döngü varsayılan olarak devreye giriyor. Visa Vulnerability Agentic Harness'ın basit bir taraması, operatör tespit aşamasında işlemi durdurmadıkça 11 aşamanın tamamını çalıştırıyor ve hedef depodaki kaynak dosyalarını düzenliyor.
Perşembe günü yapılan duyuruda, bu sürümün piyasaya sürülmesi, Visa Consulting & Analytics danışmanlık hizmetlerinin genişletilmesiyle birleştirildi. Visa, bu varsayılan ayarı, Tenet Security'nin DEF CON 34 ana sahnesinde GhostJacking'i sergilemesinden 18 gün sonra kullanıma sunuyor. GhostJacking, bir ajanın bir saldırganın yükünü bir günlük dosyasından okuduğu ve geçerli bir kimlik bilgisiyle DNS'yi yeniden yazdığı bir saldırı zinciridir. Bundan iki gün önce, Exabeam’in Yapay Zeka ve Ürün Direktörü ve OWASP LLM Uygulamaları için Top 10 projesinin eş lideri Steve Wilson, VentureBeat’te tam tersi bir varsayılan ayarın savunmasını yaptı. Wilson, yazılı yanıtlarında “Yapacağım ilk şey, modelin dışına bir yetkilendirme kapısı koymak olurdu” dedi. "Ajan, tam olarak hangi DNS değişikliğinin yapılacağını önerebilir, ancak bu değişikliği yapma yetkisini kendisine veremez." Darboğaz yer değiştirdi, bu yüzden Visa da iş akışını değiştirdi. Visa'nın teknoloji başkanlarından Rajat Taneja, varsayılan ayarın riskli bir karar olduğu öncülünü reddediyor ve bunu bir ürün olarak nitelendiriyor. Taneja, VentureBeat’e verdiği özel röportajda “Darboğaz yer değiştirdi” dedi. “Teknoloji sektörümüzün tarihinde, yapay zeka güvenlik açıklarını insanlardan daha hızlı tespit ediyor. Yeni darboğaz, bu açıkları gidermek ve giderildiğini kanıtlamaktır.”
VVAH, Visa’nın Anthropic’in Project Glasswing projesine katılımından doğdu. Bu projede şirket, Claude Mythos modelini günlük milyarlarca işlemin gerçekleştiği ağa yöneltti ve modelin küçük zayıflıkları birbirine bağlayarak işlevsel istismarlara dönüştürdüğünü gözlemledi; VentureBeat bu araştırmayı Temmuz ayında haber yapmıştı. "VVAH başlangıçta tamamen Mythos'u kullanıyordu ve işte o zaman, Project Glasswing'in bir parçası olarak hepimiz, semantik akıl yürütme yapan bu yeni model sınıfının gücünü fark ettik," dedi Taneja.
Bu araç seti Haziran ayında GitHub'a yüklendi ve 20 Temmuz'da 595 yıldız ve 97 fork'tan 25 Ağustos itibarıyla 2.300'den fazla yıldız ve 300 fork'a yükseldi; Taneja, klon-ziyaretçi oranını %9 civarında olarak belirtti. "Bu kiti kullanmaya başlayan bazı çok tanınmış şirketler var," dedi.
Neden ücretsiz olarak sunuldu? Taneja’nın cevabı, Visa’nın teknoloji DNA’sı ve “Visa’yı ve ekosistemimizi korumak” amacıyla geliştirilen bu araç setiyle başlıyor. En çok vurguladığı neden ise, “siber güvenlik konusunda aynı düzeyde yatırım veya bilgiye sahip olmayabilecek şirketler” için “doğru olanı yaparak iyilik yapmak” yükümlülüğüydü.
Katkı tek yönlüdür. Repo, şu anda harici kod katkılarını kabul etmediğini belirtmektedir; dolayısıyla, kullanıcılarının kaynak kodunu düzenleyen bu araç, kendi içine hiçbir kod almamaktadır.
Perşembe günkü sürüm, süreci raporlamanın ötesine taşıyor. Taneja, “Keşfetme, doğrulama ve raporlama, ardından düzeltme aşamasından, keşfetme, doğrulama, düzeltme, onaylama ve yineleme aşamasına geçiyoruz” dedi. "Bir düzeltme, güvenlik açığını ortadan kaldırmıyorsa, ilk çalışmadan elde edilen bilgileri koruyan ve daha sonra bunları geliştiren yapılandırılmış, otomatik bir geri bildirim süreci olmalıdır." Bu döngünün altında, sürüm, alt rutin çağrılarını ve bir saldırganın ulaşabileceği geçiş yollarını haritalayan soyut sözdizimi ağacı çağrı grafiği etrafında taramayı yeniden yapılandırıyor. Taneja, bu değişikliğin “daha iyi akıl yürütme, bağlam ve daha iyi istismar edilebilirlik analizi” sunarken token sayısını azalttığını savundu. Bunun üstünde ise aşamalar boyunca MTTA gözlemlenebilirliği yer alıyor; buna “pencere paneli” adını verdi; ayrıca gerçek zamanlı ilerleme görünümleri de bulunuyor. "Oldukça iyi bir adım," dedi sürüm hakkında. Tek bir metrik, üç tanım Visa’nın bu sistemle birlikte geliştirdiği "Ortalama Uyum Süresi" (Mean Time to Adapt) metriği, bu sürümde daha kısa bir tanımla karşımıza çıkıyor. Kısaca ifade etmek gerekirse, bu süre saldırı yollarının keşfedilmesi ile çözülmesi arasındaki zamandır; Visa’nın iddiasına göre bazı çözümler haftalardan saatlere kadar kısalıyor. Visa, Haziran ayında daha kapsamlı bir tanım yayınlamıştı ve Project Glasswing teknik raporu, MTTA’yı envanter güncelliği, sürüm başına istismar edilebilir yollar ve doğrulama döngüsü süresi olmak üzere üç boyutta takip ediyor. Depo, yapay zeka tarafından keşfedilen istismar edilebilirlikten üretim ortamında doğrulanmış bir düzeltmeye kadar geçen süreyi de üçüncü bir boyut olarak içeriyor. Yönetim kurulu sunumlarında en kısa süre alıntılanacaktır. Üçünü de isteyin, çünkü doğrulamayı atlayan çözüm sayımı, MTTA’nın yerine geçmek üzere icat edildiği şeydir.
Taneja, MTTA’yı “stratejik açıdan en önemli metrik” olarak sıralıyor, çünkü bu metrik odağı taramadan bir işletmenin ne kadar hızlı uyum sağladığına kaydırıyor. Onun kısaltması daha açık sözlü: “Bu n
