Visa ha dado un importante salto en la seguridad informática con el lanzamiento de un sistema de inteligencia artificial (IA) de código abierto que localiza fallos en el código en producción, genera la corrección automática y somete su parche a un proceso de revisión adversarial mediante IA antes de que cualquier humano intervenga. Este ciclo automático, que se ejecuta por defecto, transforma la forma en que las organizaciones abordan la vulnerabilidad cibernética, desplazando el cuello de botella desde la detección hacia la reparación y validación eficaz de los fallos.
El ‘Visa Vulnerability Agentic Harness’ (VVAH), disponible en GitHub desde junio, ejecuta once etapas de análisis y modificación directa sobre los archivos fuente del repositorio objetivo, a menos que el operador limite el proceso solo a la detección. La herramienta ha experimentado un notable crecimiento en su comunidad, aumentando de 595 estrellas y 97 bifurcaciones a finales de julio hasta superar las 2.300 estrellas y 300 forks a finales de agosto, y cuenta con una tasa de clonación del 9%, según Rajat Taneja, presidente de tecnología de Visa.
VVAH es fruto de la colaboración de Visa en el Project Glasswing de Anthropic, donde se aplicó el modelo Claude Mythos para detectar vulnerabilidades en la red que procesa miles de millones de transacciones diarias. Este mismo enfoque permitió a Visa liderar la evolución hacia un sistema de seguridad IA que no solo encuentra fallos, sino también los corrige y valida «sin necesidad de intervención humana inmediata», explica Taneja. 
De la detección a la reparación en tiempo real
Tradicionalmente, la identificación de vulnerabilidades es seguida por largos procesos humanos para corregir y probar las reparaciones, lo que puede demorar semanas o meses. Visa redefine esta dinámica con un pipeline que atraviesa las fases de descubrimiento, verificación, arreglo, validación e iteración, asegurando que si la primera solución no es efectiva, la IA intenta nuevas correcciones basándose en los aprendizajes previos.
Este proceso se apoya en un análisis sintáctico abstracto y un mapeo del flujo de llamadas de subrutinas para detectar potenciales vías de ataque, mejorando el razonamiento sobre vulnerabilidades y reduciendo el volumen de datos procesados. Además, se implementan métricas MTTA (Mean Time to Adapt) para medir el tiempo desde la detección hasta la validación de los arreglos, con casos que reducen este tiempo desde semanas a horas, una métrica que Visa considera esencial para evaluar la capacidad de adaptación frente a amenazas.
Seguridad y control humano en el proceso automatizado
Aunque el sistema automatiza la corrección, Visa asegura que existen múltiples salvaguardas humanas en el flujo de trabajo. Los parches generados por la IA son sometidos a un panel adversarial interno que intenta invalidarlos antes de que sean revisados por ingenieros y equipos de seguridad, quienes mantienen la última palabra en la integración de correcciones. El proceso incluye tres momentos clave con intervención humana: antes de la ejecución de la herramienta, durante la revisión de los parches y previo a la fusión definitiva en el código base.
Este rigor responde a la necesidad de mantener auditoría, trazabilidad y gobernanza sobre los agentes automatizados que modifican el sistema, evitando riesgos como aquella vulnerabilidad denominada GhostJacking, cuyos detalles se exhibieron públicamente en DEF CON 34 semanas antes del lanzamiento.
Contrario a propuestas que abogan por colocar un control de autorización dentro del propio modelo IA, Visa sostiene que el agente cuenta con permisos limitados y que la auditoría humana se mantiene como barrera esencial para evitar cambios arbitrarios e inseguros en la infraestructura tecnológica.
Flexibilidad y colaboración abierta
VVAH es un framework agnóstico respecto a modelos específicos de IA, lo cual permite alternar el uso de distintos motores para optimizar precisión y cobertura según la etapa del análisis. Por ejemplo, Mythos destaca en la detección amplia de fallos, mientras que modelos como Opus aportan mayor precisión en la generación de correcciones. Además, la plataforma ha extendido su compatibilidad a modelos OpenAI y versiones de código abierto con funcionamiento en tiempo real de corrección y validación.
Visa ha decidido compartir esta tecnología sin aceptar contribuciones externas sobre el código que realiza modificaciones automáticas, con el fin de mantener la seguridad y la responsabilidad en un entorno controlado para usuarios autorizados.
Asesoramiento y apoyo para la adopción
Junto con el lanzamiento, Visa ha ampliado los servicios de su área de Consultoría y Análisis para ofrecer talleres ejecutivos, evaluaciones de madurez basadas en el estándar NIST y hojas de ruta para priorización de riesgos cibernéticos. Esta iniciativa surge tras el gran interés de empresas que buscan implementar esta herramienta pionera y necesitan orientación para integrarla de manera segura y eficiente.
Según Carl Rutstein, responsable mundial en Visa Consulting & Analytics, la mayor dificultad ya no es hallar vulnerabilidades sino acelerar su corrección. Por eso, la respuesta inteligente y automatizada de VVAH representa un avance crucial en la seguridad empresarial.
Precauciones para su uso responsable
Visa advierte que VVAH debe ser empleado únicamente por operadores autorizados en entornos controlados, con acceso restringido a repositorios propios y sin permisos que puedan comprometer sistemas productivos o exponer secretos. Se recomienda ejecutar análisis preliminares sin modificación de código para inspeccionar resultados y establecer debidamente los roles y controles de acceso al ejecutar la herramienta en modo de corrección.
La configuración del uso de modelos IA por etapa es un aspecto fundamental, dado que diferentes modelos ofrecen balances específicos entre precisión y exhaustividad, lo que impacta directamente en la efectividad y seguridad del proceso.
La combinación de un enfoque tecnológico avanzado, una gestión rigurosa de la gobernanza y la apertura colaborativa posiciona a Visa como referente en la integración de inteligencia artificial en la defensa cibernética, marcando un nuevo estándar en la rapidez y fiabilidad para enfrentar vulnerabilidades en entornos digitales críticos.
