Visa corregge il codice con IA, senza umani

A maggio 2026, Visa ha messo in produzione quello che sembra il primo vero cambio di paradigma nella sicurezza informatica moderna: un sistema automatico che non solo scopre le vulnerabilità, ma le corregge, le valida e le applica senza aspettare nessuno. Il suo nome è Visa Vulnerability Agentic Harness (VVAH), ed è disponibile pubblicamente su GitHub. Non è uno strumento di reporting: è un agente che prende decisioni.

Il concetto è radicale ma semplice. Il sistema esegue undici stadi automatizzati: scopre una debolezza nel codice, chiede a un’intelligenza artificiale di scrivere una patch, la testa contro un panel di attaccanti artificiali per verificare che funzioni, poi modifica direttamente i file del repository. Se l’operatore non interviene per bloccare il processo a uno dei stage iniziali, la correzione finisce in produzione senza revisione umana. Tutto con un semplice comando di scansione.

L’annuncio ha diviso subito la comunità tech internazionale. Steve Wilson, Chief AI e Product Officer di Exabeam e co-responsabile dell’OWASP Top 10 for LLM Applications, non ha usato parole dolci: secondo Wilson, prima che un agente di intelligenza artificiale possa apportare qualsiasi modifica all’infrastruttura, dovrebbe sottomettersi a un gate di autorizzazione umano. Una proposta, non un ordine esecutivo. Wilson ha evidenziato un punto critico: le istruzioni scritte nei prompt dell’AI sono suggerimenti, non controlli di sicurezza obbligatori. Se l’agente decide di improvvisare una modifica ad alto impatto, tecnicamente potrebbe farla.

Visa, rappresentata dal suo presidente della tecnologia Rajat Taneja, ha scelto una strada diversa. Taneja ha dichiarato a VentureBeat che il bottleneck nel ciclo di sicurezza non è scoprire le vulnerabilità—i modelli più recenti lo fanno più velocemente di qualsiasi team umano nella storia della tecnologia. Il bottleneck è ripararle e provare che sono state effettivamente riparate. Se i team devono attendere revisioni manuali, il tempo tra la scoperta e la soluzione torna a crescere di giorni o settimane. Visa ha deciso di spostare il controllo non all’esterno del sistema, ma di renderlo più robusto all’interno.

La tecnologia è nata dentro Project Glasswing di Anthropic, un esperimento molto discusso dove Visa ha messo il modello Claude Mythos a testare deliberatamente le sue infrastrutture di pagamento. L’obiettivo era semplice: capire come l’IA ragiona sulle debolezze della sicurezza e come può trasformare piccoli buchi in exploit funzionanti. Quello che Visa ha imparato ha portato direttamente a VVAH. Taneja ha spiegato che tutto è partito da Mythos e dal riconoscimento della capacità di ragionamento semantico di questa nuova generazione di modelli. Dalla ricerca al prodotto: sei mesi.

I numeri della crescita sono impressionanti. VVAH è stato caricato su GitHub a giugno. Il 20 luglio aveva 595 stelle e 97 fork. Il 25 agosto era a più di 2.300 stelle e 300 fork, con un rapporto clone-visitatore intorno al 9%. Taneja ha confermato che aziende molto note hanno iniziato a usare il harness, ma senza nomi. Nessuno vuole diventare il primo che ammette pubblicamente di lasciare che l’IA corregga il codice di produzione in automatico.

La domanda ovvia è: perché Visa lo regala al mondo? La risposta di Taneja combina due motivazioni. La prima è il DNA di Visa stesso: il harness è stato costruito per proteggere Visa e l’intero ecosistema di pagamenti che la circonda. La seconda è più nobile: Visa sostiene un obbligo di fare bene per le aziende che non hanno gli stessi investimenti o la stessa conoscenza tecnica in cybersecurity. È open-source, ma il repository non accetta contributi di codice esterno. Visa vuol dire: potete usarlo, ma non potete fargli proposte di miglioramento. È una strada a senso unico. La protezione rimane in mano all’azienda di pagamenti.

A maggio Visa ha esteso la pipeline oltre il semplice reporting. Ora non è più discovery, verify, report. Ora è discovery, verify, remediate, validate e iterate. Se una correzione non blocca effettivamente l’exploit, c’è un feedback automatico strutturato che mantiene l’apprendimento dal primo tentativo e lo usa per migliorare il secondo. Sotto questa logica ripetitiva, VVAH ha rifattorizzato la scansione intorno a un abstract syntax tree call graph—una mappa di come le subroutine si chiamano tra loro e quali percorsi un attaccante potrebbe sfruttare. Taneja sostiene che questa architettura riduce i token consumati dall’AI mantenendo un ragionamento migliore e un’analisi della sfruttabilità più accurata.

Tutto questo porta a una metrica nuova: Mean Time to Adapt (MTTA), che Visa ha inventato insieme al harness. Tecnicamente, MTTA è il tempo tra la scoperta di un percorso di attacco e la sua risoluzione. In pratica, alcune correzioni che prima prendevano settimane ora prendono ore. Un salto quantico. Taneja è brutale sulla priorità strategica: non è importante trovare il problema. È importante correggerlo. Questo significa che la vera competizione nel 2026 non è tra chi scopre le vulnerabilità più velocemente, ma tra chi le ripara più velocemente.

Il dibattito rimane aperto e legittimo. Wilson e altri esperti di sicurezza sollevano questioni reali sulla fiducia negli agenti autonomi. Ma la scelta di Visa dice qualcosa di importante: se i tempi di reazione cambiano così drasticamente, le organizzazioni che continuano ad aspettare una revisione umana potrebbero trovare che la loro finestra temporale di protezione si è ridotta irrimediabilmente. Nei prossimi sei mesi, osserviamo se altre aziende di infrastrutture critiche seguiranno Visa, oppure se il dubbio su un sistema che si corregge da solo prevarrà sulla convenienza della velocità.

Domande frequenti

Fonte: VentureBeat