Visa rend open source un outil de cyberdéfense fondé sur l’IA

Visa rend open source son Visa Vulnerability Agentic Harness, une architecture de cyberdéfense fondée sur l’intelligence artificielle et conçue pour détecter, hiérarchiser, corriger et valider les vulnérabilités à grande échelle, selon un livre blanc publié par Visa Cybersecurity.

Présenté comme une “implémentation de référence open source pour la gestion des vulnérabilités basée sur l’IA”, ce dispositif doit permettre aux équipes de sécurité d’en examiner le code, de l’adapter à leurs propres environnements et de contribuer à son amélioration.

L’initiative s’inscrit dans le cadre de Project Glasswing, mené avec Anthropic, qui vise à tester les capacités de modèles d’IA avancés, notamment Claude Mythos, sur des systèmes critiques. Pour Visa, ces modèles changent la nature même du risque cyber : ils peuvent désormais identifier des failles, analyser leur exploitabilité et combiner de petites vulnérabilités en chaînes d’attaque complexes, là où les approches classiques reposaient davantage sur des scans périodiques, des tests d’intrusion et des cycles de correction plus longs.

“L’IA identifie des vulnérabilités en quelques minutes ; l’exploitation peut suivre en quelques heures”, résume le rapport. Dans ce contexte, Visa estime que le modèle traditionnel “scanner selon un calendrier, corriger selon un SLA” ne suffit plus : le point critique n’est plus seulement de trouver les failles, mais de savoir lesquelles sont réellement exploitables, puis de les corriger assez vite.

Un pipeline gouverné

Le Visa Vulnerability Agentic Harness fonctionne comme un pipeline gouverné, versionné et contrôlé, dans lequel des agents d’IA interviennent à différentes étapes : cartographie de la surface d’attaque, modélisation des menaces, recherche de vulnérabilités, vérification adversariale, synthèse des chaînes d’exploitation, génération de correctifs et validation finale.

Visa insiste toutefois sur un principe de gouvernance : “le raisonnement de l’IA est un composant dans un pipeline gouverné, pas le pipeline lui-même”. Le système intègre donc des garde-fous déterministes, des seuils de décision, des contrôles de politique et une supervision humaine, afin que les décisions restent auditables.

Concrètement, le dispositif ingère des dépôts de code, des métadonnées GitHub Enterprise, des données issues des bases de gestion de configuration, des informations sur les CVE et des règles de contrôle. Il produit ensuite des rapports structurés, des fichiers SARIF et des correctifs candidats pouvant être transmis aux équipes de développement et aux chaînes de déploiement.

Le rapport décrit onze étapes réparties en quatre phases : découverte et modélisation, analyse approfondie et vérification, synthèse et reporting, puis remédiation et validation. Les correctifs proposés ne sont pas appliqués automatiquement aux dépôts analysés : ils sont placés dans un espace isolé et soumis à des contrôles successifs, incluant compilation, tests, nouveau scan, revue adversariale et vérification de régression.

Priorité à l’exploitabilité

Visa affirme avoir utilisé Mythos sur des applications critiques, des services exposés à internet et des plateformes fondamentales. Les déploiements initiaux auraient permis d’identifier des opportunités de durcissement dans des applications anciennes, des bibliothèques plus anciennes et des interactions complexes entre modules. Dans le même temps, selon le groupe, ses contrôles de type zero trust, la segmentation réseau et ses défenses en profondeur ont empêché que des vulnérabilités signalées comme critiques ne se traduisent par une exploitabilité matérielle en production.

L’enjeu, pour Visa, est de passer d’une logique de volume à une logique d’exploitabilité. Le groupe rappelle que “moins de 1% des CVE sont activement exploitées”, ce qui rend la priorisation plus importante que le simple nombre de vulnérabilités fermées.

Visa introduit aussi un indicateur central, le Mean Time to Adapt (MTTA), défini comme le temps écoulé entre la découverte d’une faiblesse par l’IA et la validation d’un correctif en production, preuves à l’appui. Ce nouvel indicateur suit notamment la fraîcheur de l’inventaire, le nombre de chemins exploitables restant après chaque version et la durée du cycle de validation.

Au-delà de ses propres systèmes, Visa veut faire de cette approche un standard pour son écosystème. Le groupe recommande aux entreprises de mettre en place des programmes de gestion de l’exploitabilité des vulnérabilités, de déployer des plans de contrôle agentiques sous supervision humaine et d’exiger de leurs fournisseurs une posture de sécurité adaptée à l’IA, avec validation continue et indicateurs de type MTTA.

À découvrir

Enquête Médias24. L'adoption de l'IA gagne du terrain au sein des entreprises marocaines sondées (2/2)