Visa、人間レビュー前の自動修正機能付きセキュリティAIを公開

Visa が公開したセキュリティ自動化フレームワークは、脆弱性の特定から修正コードの生成、さらにその修正が新たな攻撃に耐えられるかの検証までを、人間のレビューが入る前に自動で完結させます。この一連のプロセスはデフォルトで有効化されています。Visa Vulnerability Agentic Harness をそのまま実行すれば、11 段階の全工程が自動的に処理され、対象リポジトリ内のソースファイルも編集されます。ただし、オペレーターが検出モードに制限を設ければ、編集は行われません。

今回の発表に合わせて、Visa はコンサルティングおよび分析アドバイザリー事業の拡大も併せて発表しました。このデフォルト設定の導入から 18 日後には、Tenet Security が DEF CON 34 のメインステージで「GhostJacking」という攻撃手法を披露していました。これはエージェントがログファイルから攻撃者のペイロードを読み取り、有効な資格情報を用いて DNS を書き換える一連の攻撃チェーンです。

さらにその 2 日前、Exabeam の AI・製品責任者であり、OWASP Top 10 for LLM Applications プロジェクトの共同リーダーも務める Steve Wilson は、VentureBeat で「デフォルトは逆であるべき」と主張しました。書面での回答で Wilson はこう述べています。「まず最初にやるのは、モデルの外側に認証ゲートを設けることだ。エージェントが DNS 変更を提案することはできるが、それを実行する権限を自ら付与することはできない。」

ボトルネックの所在が変われば、パイプラインも随之に変わるのだ。

Visa の技術担当プレジデントであるラジャト・タネジャ氏は、「リスク対応がデフォルト」という前提を否定し、それを製品化すべきだと主張しました。「ボトルネックの場所が変わりました」とタネジャ氏は VentureBeat との独占インタビューで語っています。「AI は、テクノロジー業界の歴史において人間よりもはるかに速く脆弱性を発見しています。現在の新規なボトルネックは、修正を行い、その修正が有効であることを証明することです。」

VVAH（Visa Vulnerability Analysis Harness）は、Visa が Anthropic の「Project Glasswing」に参加した際に誕生しました。このプロジェクトでは、同社が Claude Mythos を1 日に数十億件もの取引を支えるネットワークに適用し、モデルが小さな弱点を連鎖させて実際の攻撃手法へと発展させる様子を目撃しました。VentureBeat は同年7月にこの調査を報じています。「当初の VVAH は完全に Mythos のみを使用していました。その時、Project Glasswing の一員として私たちは、意味的な推論を行うという新しいタイプのモデルが持つ力を認識したのです」とタネジャ氏は述べています。

このハルネスは6月に GitHub に公開され、7 月20日の時点で595スターと97フォークだったものが、8 月25日現在ではスター数2,300以上、フォーク数300以上に増加しました。タネジャ氏によると、クローンから訪問者への比率は約9%に達しています。「非常に著名な企業がすでにこのハルネスの使用を開始しています」と彼は話しています。

なぜ無料で公開するのか？タネジャ氏の答えの根底には、Visa の技術的 DNA と、「Visa 自社とそのエコシステムを保護するために構築されたハルネス」という理念があります。彼が最も強調したのは義務感です。「セキュリティ対策への投資や知識が同等ではない企業に対して、『正しいことを行うことで善を行う』という責任を果たすためです。」

貢献は一方通行です。リポジトリには現在、外部からのコード貢献を受け付けていないと明記されており、採用者のソースコードを編集するハッチも、その結果として得られたコード自体を取り込むことはありません。

木曜日のリリースでは、このパイプラインがレポート作成の段階を超えて拡張されました。「発見し、検証し、報告する」だけでなく、「発見・検証・修復・検証・反復」という一連のプロセスへと進化させます」とタネジャ氏は述べています。「もし修正が攻撃を無効化しない場合、最初のランで得られた知見を保持しつつ改善するための構造化された自動フィードバックが必要となります。」このループの基盤には、サブルーチンの呼び出しや攻撃者が到達可能な経路をマッピングする抽象構文ツリー（AST）の呼び出しグラフを中心にスキャン機能を再構築したコードが置かれています。タネジャ氏は、この変更によりトークン数を削減しつつ、「より優れた推論、文脈理解、そして脆弱性の悪用可能性分析が可能になった」と主張しています。その上層には、各段階を可視化する MTTA（Mean Time to Acknowledge）の観測機能があり、彼はこれを「窓のようなもの」と表現しました。さらにリアルタイムの進捗状況も表示されます。「これは非常に良いステップアップだ」と同氏はリリースを評価しました。

一つの指標、三つの定義

Visa が開発した「適応までの平均時間（Mean Time to Adapt: MTTA）」という指標について、今回のリリースではより簡潔な定義が示されています。これは攻撃経路の発見から解決に至るまでの時間を指し、Visa によれば一部のケースでは解決にかかる時間が数週間から数時間に短縮されたといいます。

Visa は今年6月に広範な構成を公開しており、『Project Glasswing』ホワイトペーパーでは、MTTA を「インベントリの鮮度」「リリースあたりの悪用可能な経路数」「検証サイクル時間」の3つの次元で追跡しています。また、このリポジトリには第3の指標として、AI によって発見された脆弱性から本番環境での修正が検証されるまでの経過時間も含まれています。

取締役会の資料では最も短い間隔が引用されますが、すべての指標を確認することが重要です。なぜなら、検証プロセスを省略した解決件数だけを追うことは、MTTA が本来置き換えようとしていた従来のアプローチそのものだからです。

Taneja は MTTA を「最も戦略的に重要な指標」と位置付けています。これは、単なるスキャンの実施から、企業がどれだけ迅速に適応できるかに焦点を移すためです。彼の表現はさらに直接的です。「重要なのは発見されたことではなく、修正されることです」と彼は述べています。

デフォルトとゲートについて

Wilson の主張は、単に「ゲート」の名前を挙げるだけではありませんでした。「プロンプト内に記述されたセキュリティルールがモデルの振る舞いに影響を与えることは確かですが、それらはあくまでモデルに対する提案であり、強制力のあるセキュリティ制御ではないことを忘れてはいけません」と彼は書いています。

また、その制約についても率直に評価しています。「トレードオフとして、エージェントは自律的に任意かつ大規模なインフラ変更を実行する能力を失いますが、その代わりに自律的な調査と、範囲が限定された日常的な修正作業は維持されます」と Wilson は説明しています。

パッチと編集後のファイルの間には承認ステップを設けず、即座に展開される仕組みです。この「人間がどこで介入すべきか」という最初の問いに対し、VentureBeat は Visa に書面で質問しました。

同社が今年6月に発表したホワイトペーパーでは、基準が明確に示されています。「AI エージェントはアイデンティティである」という原則が、12 の譲れない実践項目の一つとして掲げられています。これは、システムを変更するすべてのエージェントに対して、権限の範囲限定、最小権限の適用、監査証跡の確保、IAM ガバナンスの実装を要求するものです。

「現在使われている多くの従来のシステムは、本質的に信号を提供するものに過ぎません」と Taneja 氏は VentureBeat に語りました。「 telemetry データを収集し、その後の分析や対応の大部分を人間の SOC やセキュリティチーム、インシデントレスポンス担当者が担う構造です。しかし、この規模ではもはや通用しません」と指摘しました。

Taneja 氏は、Hugging Face の事例や「他の最先端モデルがサンドボックスから抜け出し、より自律的に行動するようになった動き」を、その兆候として挙げました。「私たちはすでに映画の予告編を見ています。世界中の企業が準備し、アーキテクチャを見直す必要があるのです」と述べています。

このハッチが自動化するのは、敵対的な攻撃ステップです。修正が検証済みとみなされる前には、パネルがそのパッチが攻撃を無効化できるかをスコアリングします。これがタネジャ氏が定義する「完了」の基準であり、失敗した修正は次の試行へとフィードバックされます。この反復プロセスこそが、タネジャ氏が説明したイテレーション（試行）ステップです。

README によると、ステージ 11 は読み取り専用で実行され、VVAH はパッチ適用後のコードツリーに対してコンパイルやビルドを行わず、テストも実行しません。タネジャ氏はこのラッパーを「その上層に構築されたガバナンス・アーキテクチャ」と呼び、発見された知見を実際の攻撃として機能させるには、脅威モデリングとビジネスの文脈が必要だと指摘しました。そのため、「ハッチとモデルを組み合わせた方が、単独でモデルを使うよりもはるかに効果的である」と主張しています。

Visa は「ゲート」の問いに答える

VentureBeat はインタビュー後に Visa に対して書面で質問を投げかけましたが、回答は公開前に届きました。なぜリメデイエーション（修正機能）が提供されるのかという点について、同社はボトルネックに関する議論を繰り返した上で、その適用範囲を限定しました。「VVAH は、自社のコードを対象に、許可されたオペレーターが制御された環境内で運用することを意図しています」と、書面での回答では述べています。

承認に関する質問に対して、Visa は最も具体的な回答を返しました。「VVAH はマージツールではなく、ハーネスです」と同社は記述しています。ステージ 10 では候補となる修正コードがリポジトリの作業コピーに書き込まれ、その後ステージ 11 で敵対的な検証パネルが各修正を評価します。その結果として「妥当」「検証失敗」「レビューが必要」のいずれかの判定が返されます。これらは通常のビルド・テスト・コードレビューフローを迂回するものではありません。

同社はさらに、「人間は 3 つの地点でゲートキーパーとなります。ツールの実行前、パッチのレビュー時、そしてマージ前の最終段階です」と述べています。「どの修正についても最終決定権はセキュリティおよびエンジニアリングチームにあり、企業環境では信頼性と監査可能性が必須条件です。デフォルトのフローはこの前提の上に構築されています」。

ウィルソンの基準と比較すると、このアーキテクチャは彼の指針に近い部分もありますが、処理順序には違いがあります。ウィルソンが定義したゲートはアクション発生前に機能しますが、Visa のデフォルトでは人間によるゲートは実行前と書き込み後に配置されています。攻撃対応の自動化部分がモデル内部にあり、3 つの人間によるゲートはモデルの外側、すなわちウィルソンが描いた境界線の外側に位置しています。「当社の目的は、セキュリティチームを AI のスピードで働かせる手助けであり、彼らを代替することではありません」と Visa は強調しました。VVAH が担うのは反復作業です。問題の発見、それが実際に存在するかの検証、そして修正案の提案を行います。修正が人間に渡る前に、ステージ 11 の敵対的検証パネルがその修正を破壊しようとする試みを行います。これにより、人間は判断が必要な意思決定に時間を割くことができ、ノイズの選別には費やさなくて済みます」。

クライアントゼロとして直接確認が得られました。Visa は「VVAH を今日、Visa のコードに対して実行した」と記し、Taneja 氏はその電話会議で自社の運用状況を説明しました。「私たちはこれを設計し、自社で利用していました。つまり、私たちが最初のユーザーだったのです」と彼は語り、「発見された影響とポジティブな効果を目の当たりにして、すべての企業がこれが必要だと確信しました」と付け加えました。

Visa によると、採用企業が高く評価するのは「文脈」です。VVAH は CMDB データ、脅威モデル、ビジネスリスクを統合的に取り込みます。「多くのツールが単なる発見で終わるのに対し、VVAH は『自社の事業運営を踏まえて、どの脆弱性を優先して修正すべきか』という問いに答えることを目指しています」。

モデルの選択は、各工程ごとの意思決定となります。

マルチモデルのオーケストレーションも、もう一つの重要な変化です。タネジャ氏は「Mythos は非常に高い再現率を誇りますが、Opus モデルは極めて高い精度を持ちます」と説明しました。ステージ 1 ではこのモデルを使い、ステージ 2 では別のモデルを使う——これがタネジャ氏が各段階の設定をどう捉えているかという考え方です。新しい GPT リリースをアンサンブルに組み込みつつ、コストが痛手となる場面ではオープンウェイトモデルを採用し、これらすべてをコードの変更ではなく設定のみで実現しています。「全体は部分の合計よりも大きい」とタネジャ氏は述べています。

ハーンネス（運用基盤）は初日からモデル非依存でした。進化に伴い、この選択も設定に移行され、プロンプトチューニングとキャッシュが共通の層として共有されるようになりました。一つの境界線が変わりました。6 月には修正適用に Anthropic のバックエンドが必要でしたが、OpenAI 互換のバックエンドは報告専用でした。現在の README では、共通のモデル非依存ランタイムを通じて、OpenAI 互換およびオープンウェイトモデルへの修復と検証が拡張されました。特定のベンダーに依存するハードな制約はなく、両ステージのデフォルトルーティングは依然として Anthropic です。

この柔軟性は、すでに活発に変化している市場に注力しています。VentureBeat の 2026 年第 2 四半期パルス調査では、企業の 59% が年内にエージェントセキュリティツールの採用または切り替えを計画しており、82% が依然としてプロバイダーネイティブの制御を主要な防御層として利用していることが判明しました。Visa は木曜日、VVAH をモデル非依存フレームワークとして Nvidia の「Open Secure AI アライアンス」に貢献すると発表し、オープンソースコンポーネントの強化を目指す IBM と Red Hat による 50 億ドル規模のプロジェクト「Lightwell」にも協力しています。

修正モードを有効にする前に

決定事項

まず何を確立するか

実行姿勢として、ソースファイルに書き込み可能な実行を行う前に、--stop-after s9 を指定して SARIF 出力を確認することから始めます。

承認ゲート

Visa の3つの人間による承認ゲートをパイプラインにマッピングします。それぞれ「実行時」「パッチレビュー時」「マージ時」のタイミングで設定し、各段階の責任者を明確に名指ししてください。

検証範囲

ステージ11の判定結果は修正内容の評価に用います。Visaの方針により、ビルド、テスト、コードレビューは各チームの既存フロー内で完結させるため、マージ前には必ず再攻撃（エクスプロイト）の再テストを実施してください。

リポジトリ範囲

このツールの README によると、実行時には特権が付与されます。ハーンセスがアクセスできるリポジトリを明確に区切り、スコープ付き認証情報を用いた一時的な環境でスキャンを実行します。本番環境のシークレットは使用せず、ネットワーク接続も対象のリポジトリとモデルエンドポイントに限定してください。

生産コードへの書き込み権限は、「GhostJacking」という暴露クラスに該当します。これは、エージェントが読み取ったデータに基づいて動作するリスクを指します。README のエグレス警告によると、SDK、OpenAI、または DeepAgents バックエンドを経由して割り当てられたロールは、プロンプトデータを各プロバイダーのエンドポイントへ送信します。

モデルの役割

各ステージにモデルを割り当てる際は、意図的に行ってください。Taneja氏によると、モデルによって再現率（recall）と適合率（precision）が異なります。特に修正を行うステージは影響範囲（ブラスト半径）が最も大きくなるため注意が必要です。また、README には精度や再現率の数値はまだ公開されていないと記載されているため、自らの環境で測定する必要があります。

コンサルティングも木曜日の発表のもう一つの柱です。Visa Consulting & Analytics は、執行役向けのワークショップに加え、NIST の 1 から 5 のスケールで評価される VVAH に基づいた成熟度評価と、サイバーリスクの優先順位付けロードマップを追加します。「多くの問い合わせが寄せられました。『手伝ってほしい』という声です」とタネジャ氏は語り、この事業は「利用者を丁寧にサポートし、手取り足取り教える役割として非常に重要になった」と述べています。Visa Consulting & Analytics のグローバル責任者であるカール・ルートスタイン氏も同じ見解を示しました。「脆弱性を発見すること自体が最も難しい部分ではなくなりました。今や戦場となっているのは、修正までのスピードです。」