Visa a intensifié son engagement en cybersécurité basée sur l’intelligence artificielle avec une nouvelle version de Visa Vulnerability Agentic Harness (VVAH), son cadre open source et indépendant du modèle d’IA utilisé. La principale innovation réside dans le fait que le système ne se limite plus à détecter et analyser les vulnérabilités : il intègre désormais un processus pour proposer des corrections, les valider et les retravailler lorsqu’elles ne passent pas les contrôles. Visa garantit que certains processus peuvent passer de plusieurs semaines à quelques heures.
Les essentiels de Visa VVAH en 30 secondes
- VVAH étend ses capacités, passant de la détection de vulnérabilités à leur remediation et validation ultérieure.
- Le framework est open source et permet la configuration de modèles d’Anthropic, OpenAI, et d’autres fournisseurs.
- Un cycle fermé retourne les corrections non validées pour qu’elles soient améliorées.
- Visa affirme avoir réduit certains processus de semaines à des heures, bien qu’aucune métrique globale ne soit publiée pour tous les environnements.
- Visa Consulting & Analytics propose trois nouveaux services liés à la cybersécurité et à l’IA.
L’annonce initiale de Visa a été faite le 27/08/2026, mais l’information a commencé à se diffuser dans d’autres marchés par la suite. La société encadre ce changement autour d’une métrique baptisée Mean Time to Adapt (MTTA), qui désigne le temps écoulé entre la découverte d’une vulnérabilité et sa résolution. La réduction annoncée repose sur l’expérience de Visa et ne doit pas être interprétée comme un délai garanti pour toute organisation déployant VVAH.
Cette évolution revêt un intérêt particulier pour une autre raison : Visa ne présente pas un nouveau modèle d’intelligence artificielle propriétaire, mais une couche d’orchestration capable de travailler avec différents modèles. Cela permet de dissocier le flux de sécurité de la sélection précise du fournisseur d’IA.
VVAH vise à clôturer le cycle entre détection d’un défaut et confirmation de sa correction
VVAH a vu le jour à la suite de la participation de Visa à Project Glasswing, une initiative d’Anthropic dédiée à l’utilisation de modèles avancés d’IA en cybersécurité. La première version montrait comment ces systèmes pouvaient localiser des vulnérabilités, évaluer leur exploitabilité et générer des résultats structurés.
La nouvelle version étend ce processus.
Le flux proposé par Visa peut être résumé en quatre phases :
| Phase | Fonction de VVAH |
|---|---|
| Découverte | Identifier les vulnérabilités potentielles |
| Classification | Analyser et hiérarchiser les découvertes |
| Remédiation | Préparer des corrections |
| Validation | Vérifier si la solution résout le problème |
Ce qui différencie VVAH, c’est ce qui se passe lorsque la correction proposée n’est pas efficace.
Visa a intégré une remédiation en cycle fermé. Si la solution ne passe pas la phase de validation, le système génère des informations structurées sur l’échec, permettant de l’utiliser pour améliorer la correction sans relancer tout le processus de détection.
C’est une avancée significative par rapport à l’usage classique de l’IA générative en sécurité, où un modèle agit comme assistant pour analyser du code et détecter des problèmes, laissant à l’équipe humaine le soin de corriger et de valider.
VVAH cherche à maintenir ces étapes dans un même flux de travail intégré.
Visa a également ajouté des vues de suivi en temps réel pour donner plus de visibilité lorsque les analyses ou remédiations prennent plus de temps.
L’entreprise affirme que cette automatisation a permis de réduire certains processus, jadis de plusieurs semaines, à quelques heures. Néanmoins, aucune métrique détaillée n’a été publiée pour généraliser cette réduction à tous types de dépôts, vulnérabilités ou infrastructures.
OpenAI, Anthropic, ou tout autre modèle configurable
Un autre changement clé concerne l’architecture du système.
VVAH se présente comme un framework indépendant du modèle (model-agnostic), ce qui signifie qu’il n’est pas basé sur un seul grand modèle de langage (LLM). Les organisations peuvent utiliser des modèles approuvés d’Anthropic et OpenAI, ou en intégrer d’autres via la configuration, sans modifier le code du framework.
Cela permet de faire évoluer le modèle utilisé tout en conservant le reste du flux de sécurité intact.
| Caractéristique | Nouvelle version de VVAH |
|---|---|
| Open source | Oui |
| Détection de vulnérabilités | Oui |
| Évaluation et classification | Oui |
| Génération de remédiations | Oui |
| Validation post-correction | Oui |
| Cycle fermé après échec | Oui |
| Compatibilité modèles Anthropic | Oui |
| Compatibilité modèles OpenAI | Oui |
| Intégration d’autres modèles | Via configuration |
| Suivi en temps réel du processus | Optionnel |
Cette indépendance offre une flexibilité précieuse pour les entreprises souhaitant éviter de lier leurs processus de sécurité à un fournisseur unique ou qui disposent de politiques différentes selon la criticité du code.
Elle permet aussi d’envisager des architectures où différents modèles remplissent des fonctions variées, même si Visa ne recommande pas forcément cette configuration ni n’affirme qu’elle donne toujours de meilleurs résultats.
VVAH est disponible en open source depuis juin 2026. Selon Visa, il a été téléchargé par des dizaines de milliers de développeurs à travers le monde. La société participe également à l’Open Secure AI Alliance de Nvidia et à Project Lightwell, une initiative d’IBM et Red Hat centrée sur la sécurité du logiciel open source.
Ce paradigme traduit une tendance émergente dans l’outillage de sécurité intégrant des agents IA. La détection automatique des vulnérabilités est utile, mais elle peut aussi générer un problème si les équipes sont submergées par un grand volume d’alertes difficiles à traiter.
Automatiser la partie de remédiation cherche à faire évoluer l’objectif, de « combien de vulnérabilités peut-on détecter » vers « combien de temps une organisation met-elle pour les corriger ».
Visa transforme VVAH aussi en offre de service de conseil
Cette mise à jour technologique s’accompagne d’une extension commerciale via Visa Consulting & Analytics (VCA).
La société a lancé trois nouveaux services de conseil liés à la cybersécurité et à l’intelligence artificielle.
Le premier, AI Cyber Leadership Education, propose des ateliers pour dirigeants, une formation et des certifications offertes par Visa University, dispensés par des experts en IA et sécurité.
Le second consiste en une évaluation de la maturité en cybersécurité basée sur VVAH. Le service s’appuie sur le framework pour identifier et analyser d’éventuelles vulnérabilités, déterminer des zones à risque et prioriser les actions correctives.
Le troisième, VVAH Cyber Risk Prioritization and Roadmap, vise à analyser les découvertes et à élaborer des priorités ainsi que des plans de gestion des risques à long terme.
Déjà active dans l’évaluation de la maturité et du risque, Visa Consulting & Analytics cite l’exemple de CAIXA Cartões, qui a utilisé ses services pour auditer ses processus de cybersécurité et hiérarchiser ses initiatives de résilience opérationnelle et de gestion des risques.
L’alliance entre logiciel open source et services professionnels illustre la stratégie. VVAH peut être déployé en tant que framework open source sans faire appel à la consultance de Visa, tandis que VCA offre des services construits autour de cette technologie et de cette méthodologie.
Visa justifie cette évolution par le fait que l’intelligence artificielle joue aussi un rôle offensif. Rajat Taneja, président de la division technologique, explique que l’IA réduit le délai entre la découverte et l’exploitation d’une vulnérabilité, obligeant les défenseurs à accélérer leur réponse.
Ce principe conduit à une vision pratique : se limiter à utiliser l’IA pour découvrir davantage de failles n’empêche pas que le processus de correction reste long si les équipes mettent encore plusieurs semaines à analyser, corriger et tester.
La nouvelle version de VVAH vise précisément à automatiser une part plus grande de cette chaîne. Reste à voir comment elle se comportera hors du contexte de Visa, notamment dans de grands dépôts, des applications héritées ou des systèmes où une modification automatique pourrait avoir de lourdes conséquences opérationnelles.
De plus, le fait qu’un agent puisse générer une correction ne supprime pas la nécessité de contrôles sur le changement. La validation automatisée offre une couche supplémentaire, mais chaque organisation doit décider quelles modifications peuvent être faites automatiquement et lesquelles nécessitent une revue humaine préalable avant mise en production.
Ce compromis entre autonomie et contrôle sera sûrement l’un des enjeux majeurs à l’avenir, alors que les agents IA commenceront à intervenir directement dans le code et l’infrastructure critiques.
Questions fréquentes
Qu’est-ce que Visa Vulnerability Agentic Harness ?
Visa Vulnerability Agentic Harness (VVAH) est un cadre open source destiné à utiliser des modèles d’IA dans la gestion des vulnérabilités. La version actuelle couvre la détection, la classification, la remédiation et la validation.
VVAH fonctionne-t-il uniquement avec des modèles d’Anthropic ?
Non. Visa indique que VVAH peut coopérer avec des modèles approuvés d’Anthropic et d’OpenAI, et il peut également intégrer d’autres modèles via une simple configuration.
VVAH peut-il corriger automatiquement une vulnérabilité ?
Le nouveau processus permet de générer des remédiations et de les valider. Si une correction ne passe pas les contrôles, le système utilise les informations pour l’améliorer dans un cycle fermé.
Visa garantit-il que toutes les vulnérabilités peuvent être résolues en quelques heures ?
Non. Visa indique que certains processus qui prenaient auparavant plusieurs semaines ont été réduits à quelques heures. Cependant, cette réduction n’est pas garantie pour toutes les vulnérabilités ou dans tous les contextes.