Visa memanfaatkan model AI Anthropic bernama Mythos untuk mengidentifikasi kerentanan dalam infrastruktur pembayarannya yang sangat kompleks. Jaringan ini mencakup lebih dari 200 negara dan wilayah serta menangani transaksi dalam sekitar 160 mata uang. Pendekatan ini memungkinkan model untuk menghubungkan kelemahan kecil di berbagai lapisan sistem menjadi rantai eksploitasi yang utuh.
Rajat Taneja, presiden teknologi Visa, menjelaskan bahwa langkah selanjutnya adalah merilis harness yang mengatur seluruh proses pencarian kerentanan tersebut sebagai proyek open source. Harness ini dirancang sebagai pipeline terstruktur yang mengarahkan model AI melalui tugas keamanan sambil tetap menjaga kontrol deterministik dan pengawasan manusia di setiap tahap.
Harness tersebut kini memasuki generasi kelima dan beroperasi melalui empat fase utama serta sebelas tahap, mulai dari ingestion kode hingga validasi perbaikan. Tiga pilihan desain utama yang diterapkan adalah threat modeling sebelum analisis, voting deterministik multi-agent, serta artefak triage terstruktur yang mempercepat siklus dari temuan hingga perbaikan.
Salah satu analisis penting yang muncul dari proyek ini adalah bagaimana pendekatan agentic defense dapat menjadi standar baru bagi lembaga keuangan lain. Ketika model AI mampu merangkai eksploitasi secara kontekstual, pertahanan tradisional berbasis pola saja tidak lagi cukup. Organisasi perlu mengadopsi sistem yang juga bersifat agentic agar dapat mengikuti kecepatan serangan modern.
Analisis kedua menyoroti dampak terhadap manajemen risiko rantai pasok. Dengan membuka harness ke publik, Visa mendorong ekosistem keamanan yang lebih kolaboratif, terutama bagi komponen open source yang digunakan secara luas di industri pembayaran. Langkah ini dapat mempercepat identifikasi dan penutupan celah di seluruh lapisan infrastruktur kritis.
Visa juga memperkenalkan metrik baru bernama Mean Time to Adapt yang mengukur kecepatan konfirmasi eksploitabilitas, penerapan perbaikan, dan validasi bahwa jalur serangan benar-benar tertutup. Metrik ini menggantikan ukuran lama seperti jumlah temuan CVE yang ditutup karena lebih fokus pada hasil aktual daripada sekadar volume.
Ke depan, Visa tengah mempersiapkan kerangka kepercayaan untuk transaksi yang dilakukan oleh agen AI. Ini mencakup lapisan identitas dan penilaian kesiapan agen agar transaksi dapat berjalan aman. Prinsip “AI agents are identities” menjadi salah satu dari 12 praktik arsitektur yang dianggap tidak bisa ditawar.
Proyek ini menunjukkan bahwa pertahanan di era AI memerlukan refactoring menyeluruh agar tetap relevan ketika volume ancaman meningkat dan model serangan semakin canggih. Harness yang dirilis di GitHub memungkinkan tim keamanan lain untuk mengadaptasi pendekatan serupa tanpa memerlukan anggaran skala Visa.
