Visa推出AI安全智能体：自动修复漏洞无需人工审核
Visa近日发布了一款开源安全工具，该工具能够自主发现系统漏洞，编写修复方案，并在任何人工审查前进行自我验证。整个修复循环已默认启用，只需简单扫描Visa漏洞智能体工具(VVAH)，就会执行全部11个阶段，并直接修改目标仓库中的源代码，除非操作者限制在仅检测阶段。
此次发布伴随着Visa咨询与分析业务的扩展。在Tenet Security于DEF CON 34主舞台上展示GhostJacking攻击（一种智能体从日志文件中读取攻击者负载并利用有效凭证重写DNS的攻击链）18天后，Visa正式推出了该工具。两天前，Exabeam首席AI与产品官、OWASP LLM应用十大风险项目联合负责人Steve Wilson提出了相反的默认设置观点，主张应在模型外部设置授权关卡。
瓶颈转移，流程重构
Visa技术总裁Rajat Taneja拒绝将默认设置视为风险决策，而是将其视为产品特性。他强调：”瓶颈已经转移。在整个技术行业历史中，AI发现漏洞的速度已经超过了人类。新的瓶颈在于修复漏洞并证明我们已经解决了问题。”
VVAH源于Visa参与Anthropic的Project Glasswing项目。在该项目中，公司将Claude Mythos模型应用于每日数十亿笔交易网络，观察模型将轻微弱点转化为可利用漏洞的过程。Taneja表示：”VVAH最初完全使用Mythos，当时我们意识到这类具有语义推理能力的新模型的力量。”
该工具于6月登陆GitHub平台，从7月20日的595个星标和97个分支，增长至8月25日的超过2300个星标和300个分支，Taneja估计其克隆访问比率接近9%。他透露：”我们已经有一些知名企业开始使用这个工具。”
为何选择开源？Taneja的回答始于Visa的技术基因，以及一个旨在”保护Visa和我们生态系统”的工具。他最强调的责任感是”通过做正确的事来行善”，帮助”那些在网络安全方面可能没有同等投资或知识的企业”。
贡献是单向的。该仓库目前不接受外部代码贡献，因此修改使用者源代码的工具不会将任何代码纳入自身。
此次发布将流程扩展到报告阶段之后。Taneja表示：”我们的流程从’发现、验证、报告，然后修复’，发展为’发现、验证、修复、验证、迭代’。如果一个修复方案无法消除漏洞，那么应该有结构化的自动化反馈，保留首次运行的成果并加以改进。”
一项指标，三种定义
Visa与工具共同发明的MTTA（平均适应时间）指标在此版本中获得了更简洁的定义。简短定义是指从发现攻击路径到解决攻击路径的时间，Visa声称某些解决方案的时间从数周缩短至数小时。Visa6月发布的白皮书追踪了MTTA的三个维度：库存新鲜度、每个版本的可利用路径数量和验证周期时间。
Taneja将MTTA列为”最具战略重要性的指标”，因为它将焦点从扫描转移到企业适应速度的快慢上。他的简短表述更为直接：”重要的不是发现问题，而是解决问题。”
默认设置与权限控制
Wilson的论点不仅限于命名权限控制。他强调：”在提示中编写的安全规则可能会影响模型的行为，但它们仍然是模型的建议，而非可执行的安全控制。”他还评估了这种控制的代价：”权衡之处在于，智能体失去了自主进行任意、高影响基础设施变更的能力，同时保留了自主调查和常规、有界的修复能力。”
该工具在补丁和编辑文件之间没有设置审批步骤。当被问及人类干预的位置时，Visa在6月的白皮书中设定了标准：将”AI智能体就是身份”列为12项不可协商的实践之一，要求每个修改系统的智能体都具有范围权限、最小权限、审计跟踪和IAM治理。
“当今使用的许多传统系统基本上是信号提供者，”Taneja指出，”它们是遥测数据，然后需要大量人工分析，您的SOC和安全事件响应团队在响应时承担了大量繁重工作，这种方式在当前规模下无法奏效。”
他提到了Hugging Face事件和其他前沿模型突破沙箱进行更自主操作的例子，将其视为预览。”我们已经看过这部电影的预告片，”Taneja说，”世界上每家公司都应该准备并重新思考其架构。”
智能体治理与安全
该工具自动化的是对抗性步骤。在修复方案被视为有效之前，评分系统会评估补丁是否消除了漏洞，这是Taneja对”完成”的测试，失败的修复方案将引导下一次尝试，即迭代步骤。根据README，第11阶段本身以只读方式运行，VVAH不会对修补后的代码树进行编译、构建或测试。
Taneja将此称为”其上的治理架构”，并将发现链接为可利用漏洞需要威胁建模和业务上下文，这也是他论证”带有模型的工具比单独使用模型更有效”的原因。
当被问及如何防止AI智能体被恶意利用时，Taneja强调：”我们的工具设计初衷是防御性的，通过自动化的方式强化安全能力。智能体在执行修复前会进行严格的自我验证，确保不会引入新的安全风险。”
对于企业如何部署这一工具，Taneja建议：”从小规模开始，先在非关键系统上测试，逐步扩展到关键业务系统。同时，建议组织建立专门的AI安全团队，负责监督和优化智能体的运行。”
Visa还宣布将提供培训资源，帮助客户更好地理解和部署这一创新工具。随着网络安全威胁日益复杂，Visa的AI安全工具代表了防御技术的重要进步，有望大幅提升企业应对安全威胁的能力。
关注微信号：智享开源 ，及时了解更新信息。
原文链接：https://venturebeat.com/security/visa-agentic-security-harness-autonomous-fix
公众号：智享开源
还没有任何评论，你来说两句吧！