Visa открыла исходный код VVAH: агентной системы для поиска и исправления уязвимостей

Эффективность ИИ-агентов зависит от обвязки, определяющей логику работы с инструментами. Visa опубликовала исходный код VVAH (Visa Vulnerability Agentic Harness). Это конвейер для автономного поиска, верификации и исправления уязвимостей. Платформа не привязана к одному провайдеру: можно подключить Claude, модели с OpenAI-совместимым API или локальную LLM. Главная метрика системы — снижение времени от обнаружения бреши до деплоя проверенного фикса.

Пайплайн состоит из четырех фаз и одиннадцати стадий. Сначала агенты строят карту поверхности атаки и формируют модель угроз. Затем запускается глубокий анализ с мультиагентным голосованием для отсеивания ложных срабатываний. На выходе система генерирует структурированные отчеты в форматах Markdown и SARIF. Архитектура позволяет менять навыки агентов без переписывания логики конвейера. Важный нюанс: для полноценной работы модулей автоматического исправления кода пока требуются модели от Anthropic.

Управление VVAH реализовано через консольную утилиту. Базовый сценарий включает команду estimate для оценки затрат на токены и scan для запуска процесса. По умолчанию профиль системы настроен на агрессивную работу: после поиска уязвимостей агенты переходят к десятой стадии и напрямую редактируют исходные файлы в целевом репозитории, пытаясь закрыть уязвимость. Для безопасного сканирования без изменения кода требуется передать флаг --stop-after s9.